pyfiscan

Acerca de

Pyfiscan es un escáner gratuito de vulnerabilidades y versiones de aplicaciones web que se puede utilizar para localizar versiones obsoletas de aplicaciones web comunes en servidores Linux. Un caso de uso típico es que los proveedores de alojamiento supervisen las instalaciones de sus usuarios para mantenerse al día con las actualizaciones de seguridad. Las huellas digitales son fáciles de crear y modificar, ya que el usuario puede escribirlas en sintaxis YAML. Pyfiscan también contiene una herramienta para crear alertas por correo electrónico mediante plantillas.

Requisitos

• Python 3
• Módulos de Python: PyYAML docopt chardet
• Servidor web GNU/Linux

Las pruebas se realizan principalmente con GNU/Linux Debian estable. Windows no está soportado actualmente.

Detecta el siguiente software

• Abantecart
• ATutor
• b2evolution
• BigTree CMS
• Bugzilla
• Centreon
• Claroline
• ClipperCMS
• CMSimple
• CMSimple_XH
• CMSMS
• Collabtive
• Concrete5
• Coppermine
• Cotonti
• Croogo
• CubeCart
• Dolibarr
• Dotclear
• Drupal
• e107
• Elefant CMS
• EspoCRM
• Etherpad
• flatCore CMS
• FluxBB
• Foswiki
• FUEL CMS
• Gallery
• Gollum
• HelpDEZk
• HumHub
• ImpressCMS
• ImpressPages
• Jamroom
• Joomla
• Kanboard
• KCFinder
• LiteCart
• Magnolia
• Mahara
• MantisBT
• MediaWiki
• Microweber
• MiniBB
• MODX Revolution
• MoinMoin
• MyBB
• Nibbleblog
• Open Source Social Network
• OpenCart (recomienda no usar este software)
• osDate
• ownCloud
• Oxwall
• PBBoard
• phpBB3
• PhpGedView
• phpLiteAdmin
• phpMyAdmin
• Piwigo
• Piwik
• PmWiki
• Postfix Admin
• Redaxo
• Redmine
• Roundcube
• SaurusCMS
• Serendipity
• Shaarli
• Shopware
• SMF
• Spina CMS
• SPIP
• SQLiteManager
• SquirrelMail
• TestLink
• TikiWiki
• Trac
• Vanilla Forums
• WikkaWiki
• WordPress
• Zenario
• Zenphoto
• Zikula

Detecta el siguiente software obsoleto:

• Bugzilla 4.2 está obsoleto desde 2015-11-30
• Drupal 6 está obsoleto desde 2016-02-24
• Drupal 9.0 está obsoleto
• Gallery 1
• Joomla 1.5 está obsoleto desde 2012-04-30
• Joomla 1.6 está obsoleto desde 2011-08-19. Las versiones 1.6.x deben actualizarse a 1.6.6 antes de pasar a 1.7.x
• Joomla 1.7 está obsoleto desde 2012-02-24
• Joomla 2.5
• MediaWiki 1.18
• MediaWiki 1.19 está obsoleto desde 2015-04-25
• MediaWiki 1.20
• MediaWiki 1.21 está obsoleto desde 2014-06-25
• MediaWiki 1.22
• MediaWiki 1.23 está obsoleto desde 2017-05-31
• MediaWiki 1.24
• MediaWiki 1.25
• MediaWiki 1.26 está obsoleto desde 2016-11-20
• MediaWiki 1.27 está obsoleto desde 2019-06-06
• MediaWiki 1.28 está obsoleto desde 2017-11-01
• MediaWiki 1.29 está obsoleto desde 2018-06
• MediaWiki 1.30 está obsoleto desde 2019-06-06
• MediaWiki 1.31 está obsoleto desde 2021-09-30
• MediaWiki 1.32 está obsoleto desde 2020-01-23
• MediaWiki 1.33 está obsoleto desde 2020-06-24
• MediaWiki 1.34 está obsoleto desde 2020-11-30
• MediaWiki 1.36 está obsoleto desde 2022-06-03
• MediaWiki 1.37 está obsoleto desde 2022-11-30
• SaurusCMS
• ownCloud 4
• ownCloud 5
• ownCloud 6
• ownCloud 7
• ownCloud 8.0
• ownCloud 8.1
• ownCloud 8.2

Instalación

sudo apt install python3 python3-pip git virtualenv
git clone https://github.com/fgeek/pyfiscan.git && cd pyfiscan
virtualenv -p python3 venv
source ./venv/bin/activate
pip3 install -r requirements.lst

o puedes usar BlackArch Linux.

Notas

• WordPress
  • Anuncio de un fork seguro de SWFUpload
• Joomla
  • La actualización debe realizarse usando "Extension manager -> Upgrade" en versiones 1.6.6 y posteriores
  • Ciclo de publicación y soporte
  • Lista de verificación de seguridad
  • Actualización y migración de Joomla
  • Joomla 2.x crea un prefijo de tabla SQL aleatorio
  • Joomla 3.x informa y muestra al usuario un botón para eliminar el directorio de instalación
  • Crea ./configuration.php en la instalación
  • Crea robots.txt, que contiene la palabra "Joomla"
• SMF
  • Fin de vida de SMF 1.0
  • El instalador solicita a los usuarios un botón para eliminar install.php
• TikiWiki
  • Fin de vida de TikiWiki 7.x
  • 8.4 es la última versión de TikiWiki 8.x
  • Fin de vida de TikiWiki 8.x
• MediaWiki
  • Fin de vida de 1.18.x
• Gallery
  • No instalado cuando falta config.php.
  • http://codex.galleryproject.org/Gallery2:Security
  • Actualizar usando: http://example.org/gallery3/index.php/upgrade php index.php upgrade
• phpBB (versión desconocida)
  • La instalación abierta no es una vulnerabilidad ya que la interfaz web solicita al usuario autenticarse insertando datos aleatorios en un archivo.
• Coppermine
  • No instalado cuando falta include/config.inc.php.
• Owncloud
  • status.php genera: {"installed":"true","version":"5.0.6","versionstring":"5.0.5","edition":""}
• Piwigo
  • No instalado si falta local/config/database.inc.php.
• Claroline
  • No instalado cuando falta platform/conf/claro_main.conf.php.
  • Las páginas de instalación solicitan al usuario eliminar el directorio claroline/install/.

Usuarios satisfechos

• DevNet Oy
• Kapsi Internet-käyttäjät ry
• Shellit.org
• Loopia.se

Colaboradores

• aapa
• Ari-Martti Hopiavuori
• Atte H. "guaqua"
• Janne Cederberg
• Joonas Kuorilehto
• Juhamatti Niemelä
• Linus Fogelholk
• motikan2010
• Olli Pekkola
• Paul Grant
• Tuomo Komulainen