riramar/hsecscanEin Sicherheitsscanner für HTTP-Antwortheader.
Ein Sicherheitsscanner für HTTP-Antwortheader.
$ pip install hsecscan
$ hsecscan
usage: hsecscan.py [-h] [-P] [-p] [-H Header] [-u URL] [-R] [-i]
[-U User-Agent] [-D DBFILE] [-d 'POST data'] [-x PROXY]
[-a]
Ein Sicherheitsscanner für HTTP-Antwortheader.
optionale Argumente:
-h, --help Zeigt diese Hilfemeldung an und beendet.
-P, --database Gibt die gesamte Datenbank der Antwortheader aus.
-p, --headers Gibt nur die aktivierten Antwortheader aus der Datenbank aus.
-H Header, --header Header
Zeigt Details für einen bestimmten Header an (Beispiel: Strict-
Transport-Security).
-u URL, --URL URL Die zu scannende URL.
-R, --redirect Gibt Umleitungsheader aus.
-i, --insecure Deaktiviert die Zertifikatsprüfung.
-U User-Agent, --useragent User-Agent
Setzt den User-Agent-Request-Header (Standard: hsecscan).
-D DBFILE, --dbfile DBFILE
Setzt die Datenbankdatei (Standard: hsecscan.db).
-d 'POST data', --postdata 'POST data'
Setzt die POST-Daten (in einfachen Anführungszeichen), andernfalls wird ein GET ausgeführt (Beispiel: '{ "q":"query string",
"foo":"bar" }').
-x PROXY, --proxy PROXY
Setzt den Proxyserver (Beispiel: 192.168.1.1:8080).
-a, --all Zeigt Details für alle Antwortheader an. Gut geeignet zur Überprüfung der zugehörigen RFC.
$ hsecscan -i -u https://google.com
>> ANTWORTINFORMATIONEN <<
URL: https://www.google.com.br/?gfe_rd=cr&ei=GF5HV4ucH7DL8geg-aK4Dw
Statuscode: 200
Header:
Datum: Thu, 26 May 2016 20:35:36 GMT
Läuft ab: -1
Cache-Control: private, max-age=0
Content-Type: text/html; charset=ISO-8859-1
P3P: CP="This is not a P3P policy! See https://www.google.com/support/accounts/answer/151657?hl=en for more info."
Server: gws
X-XSS-Protection: 1; mode=block
X-Frame-Options: SAMEORIGIN
Set-Cookie: NID=79=hDENeVI81zBYDtmqeCKAc5mxg6AQ-S24ahNqZ8El37rlJmYwUtgJg4vXAya7jKSyB2VqYI33JlLPacGonMPajpcDpUkb7mMtWMbNwIZQ8CyQBA1qXsRhjlLXU_4WExlI; expires=Fri, 25-Nov-2016 20:35:36 GMT; path=/; domain=.google.com.br; HttpOnly
Alternate-Protocol: 443:quic
Alt-Svc: quic=":443"; ma=2592000; v="34,33,32,31,30,29,28,27,26,25"
Accept-Ranges: none
Vary: Accept-Encoding
Connection: close
>> DETAILS DER ANTWORTHEADER <<
Header-Feldname: X-XSS-Protection
Wert: 1; mode=block
Referenz: http://blogs.msdn.com/b/ie/archive/2008/07/02/ie8-security-part-iv-the-xss-filter.aspx
Sicherheitsbeschreibung: Dieser Header aktiviert den in den meisten aktuellen Webbrowsern integrierten Cross-Site-Scripting (XSS)-Filter. Normalerweise ist er ohnehin standardmäßig aktiviert. Die Aufgabe dieses Headers besteht darin, den Filter für diese bestimmte Website wieder zu aktivieren, falls er vom Benutzer deaktiviert wurde. Dieser Header wird im IE 8+ und in Chrome (Versionen nicht sicher) unterstützt. Der Anti-XSS-Filter wurde in Chrome 4 hinzugefügt. Es ist nicht bekannt, ob diese Version diesen Header berücksichtigte.
Sicherheitsreferenz: https://www.owasp.org/index.php/List_of_useful_HTTP_headers
Empfehlungen: Verwenden Sie "X-XSS-Protection: 1; mode=block", wann immer möglich (Ref. http://blogs.msdn.com/b/ieinternals/archive/2011/01/31/controlling-the-internet-explorer-xss-filter-with-the-x-xss-protection-http-header.aspx).
CWE: CWE-79: Fehlerhafte Neutralisierung von Eingaben während der Webseitengenerierung ('Cross-site Scripting')
CWE URL: https://cwe.mitre.org/data/definitions/79.html
Header-Feldname: Set-Cookie
Wert: NID=79=hDENeVI81zBYDtmqeCKAc5mxg6AQ-S24ahNqZ8El37rlJmYwUtgJg4vXAya7jKSyB2VqYI33JlLPacGonMPajpcDpUkb7mMtWMbNwIZQ8CyQBA1qXsRhjlLXU_4WExlI; expires=Fri, 25-Nov-2016 20:35:36 GMT; path=/; domain=.google.com.br; HttpOnly
Referenz: https://tools.ietf.org/html/rfc6265
Sicherheitsbeschreibung: Cookies weisen eine Reihe von Sicherheitsrisiken auf. Insbesondere ermutigen Cookies Entwickler, sich auf Ambient Authority für die Authentifizierung zu verlassen, was oft zu Angriffen wie Cross-Site Request Forgery führt. Auch beim Speichern von Sitzungskennungen in Cookies erzeugen Entwickler häufig Schwachstellen durch Sitzungsfixierung. Transportverschlüsselung wie bei HTTPS reicht nicht aus, um einen Netzwerkangreifer daran zu hindern, die Cookies eines Opfers zu erhalten oder zu verändern, da das Cookie-Protokoll selbst verschiedene Schwachstellen aufweist. Darüber hinaus bieten Cookies standardmäßig keine Vertraulichkeit oder Integrität gegenüber Netzwerkangreifern, selbst wenn sie in Verbindung mit HTTPS verwendet werden.
Sicherheitsreferenz: https://tools.ietf.org/html/rfc6265#section-8
Empfehlungen: Bitte lesen Sie zumindest diese Referenzen: https://tools.ietf.org/html/rfc6265#section-8 und https://www.owasp.org/index.php/Session_Management_Cheat_Sheet#Cookies.
CWE: CWE-614: Sensitives Cookie in HTTPS-Sitzung ohne 'Secure'-Attribut
CWE URL: https://cwe.mitre.org/data/definitions/614.html
Header-Feldname: Accept-Ranges
Wert: none
Referenz: https://tools.ietf.org/html/rfc7233#section-2.3
Sicherheitsbeschreibung: Unbeschränkte Mehrfachbereichsanfragen sind anfällig für Denial-of-Service-Angriffe, da der Aufwand für die Anforderung vieler überlappender Bereiche derselben Daten im Vergleich zu der Zeit, dem Speicher und der Bandbreite, die für den Versuch, die angeforderten Daten in vielen Teilen bereitzustellen, benötigt wird, gering ist.
Sicherheitsreferenz: https://tools.ietf.org/html/rfc7233#section-6
Empfehlungen: Server sollten übermäßige Bereichsanfragen ignorieren, zusammenführen oder ablehnen, z. B. Anfragen nach mehr als zwei überlappenden Bereichen oder nach vielen kleinen Bereichen in einem einzigen Satz, insbesondere wenn die Bereiche ohne ersichtlichen Grund nicht in der richtigen Reihenfolge angefordert werden.
CWE: CWE-400: Unkontrollierter Ressourcenverbrauch ('Ressourcenerschöpfung')
CWE URL: https://cwe.mitre.org/data/definitions/400.html
Header-Feldname: Server
Wert: gws
Referenz: https://tools.ietf.org/html/rfc7231#section-7.4.2
Sicherheitsbeschreibung: Übermäßig lange und detaillierte Server-Feldwerte erhöhen die Antwortlatenz und geben möglicherweise interne Implementierungsdetails preis, die es Angreifern (geringfügig) erleichtern könnten, bekannte Sicherheitslücken zu finden und auszunutzen.
Sicherheitsreferenz: https://tools.ietf.org/html/rfc7231#section-7.4.2
Empfehlungen: Ein Ursprungsserver SOLLTE kein Server-Feld mit unnötig feinen Details erzeugen und SOLLTE die Hinzufügung von Unterprodukten durch Dritte einschränken.
CWE: CWE-200: Preisgabe von Informationen
CWE URL: https://cwe.mitre.org/data/definitions/200.html