WebStor

Identificación rápida de tecnologías web vulnerables en su organización

WebStor es una herramienta implementada en Python bajo la licencia MIT para enumerar rápidamente todos los sitios web en todas las redes de su organización, almacenar sus respuestas y consultar tecnologías web y versiones conocidas, como aquellas con vulnerabilidades de día cero. Está pensada, en particular, para resolver el problema único que se presenta en organizaciones de tamaño mediano a grande con administración descentralizada, donde puede ser casi imposible rastrear todas las tecnologías web implementadas por varios administradores distribuidos en diferentes unidades y redes.

WebStor logra su objetivo realizando las siguientes acciones:

1. Realiza transferencias de zona DNS para recopilar registros A y CNAME de una organización.
2. Utiliza Masscan para escanear puertos HTTP/HTTPS abiertos en los rangos de red de la organización, así como cualquier dirección IP fuera de esos rangos que estuviera presente en los registros A y CNAME de la organización.
3. Utiliza la biblioteca Python requests para recopilar todas las respuestas y almacenarlas en una base de datos MariaDB. Todos los nombres DNS correspondientes a una IP con puertos HTTP/HTTPS abiertos se incluirán en las solicitudes además de la dirección IP, de modo que los sitios que utilizan diferentes encabezados no hagan que se pase por alto un sitio web.
4. Descarga la base de datos de tecnologías web de Wappalyzer y la almacena en la base de datos MariaDB, lo que permite a los usuarios consultar la(s) ubicación(es) de una tecnología web común por nombre.
5. Permite a los usuarios consultar la(s) ubicación(es) donde se encuentran expresiones regulares personalizadas dentro de las respuestas almacenadas.

Plataformas compatibles

WebStor actualmente se ejecutará en sistemas Linux. Como está escrito en Python, la conversión para admitir Windows sería trivial y es probable que ocurra en el futuro.

Requisitos previos

Aplicaciones

• Masscan
  • Si va a utilizar un trabajo cron para actualizar la base de datos (típico), es fundamental que configure sudo nopasswd para cualquier usuario que ejecute el escaneo de Masscan a través de WebStor.
• MariaDB 10.0.5 o posterior
  • Las credenciales predeterminadas que intenta WebStor serán root y una contraseña en blanco. Consulte la sección "Opciones seguras" para configurar WebStor para usar otros nombres de usuario y contraseñas para conectarse a la base de datos.

Bibliotecas de Python

• pip3 install dnspython
• pip3 install beautifulsoup4
• pip3 install mysql-connector-python
• pip3 install js-regex
• pip3 install gevent
• pip3 install requests

Disponibilidad a través de PyPI

• Si simplemente desea ejecutar WebStor y no editarlo, puede instalar las aplicaciones necesarias y luego usar 'sudo pip3 install webstor'.
• Después de instalar WebStor a través de PyPI, webstor estará en la ruta y se podrá ejecutar desde la línea de comandos independientemente del directorio de trabajo con 'webstor' en lugar de 'webstor.py', por ejemplo, 'webstor -g'.

Uso básico

       webstor.py [-h] [--ADD-HTTP-PORT HTTPPORTTOADD] [--CLEAR-HTTP]
                  [--ADD-HTTPS-PORT HTTPSPORTTOADD] [--CLEAR-HTTPS]
                  [--ADD-CUSTOM-FINGERPRINT FINGERPRINT]
                  [--DELETE-CUSTOM-FINGERPRINT FINGERPRINTNAMETODELETE]
                  [--IMPORT-CUSTOM-FINGERPRINT IMPORTFINGERPRINTFILE]
                  [--CLEAR-CUSTOM-FINGERPRINTS] [--SHOW-CONFIG]
                  [--SHOW-CONFIG-FULL] [--RUN-MASSCAN]
                  [--SET-MASSCAN-RANGES SETSCANRANGES]
                  [--ADD-RANGE RANGETOADD] [--DELETE-RANGE RANGETODELETE]
                  [--IMPORT-MASSCAN-RANGES IMPORTSCANRANGES]
                  [--ADD-PATH PATHTOADD] [--DELETE-PATH PATHTODELETE]
                  [--CLEAR-PATHS] [--REFRESH-RESPONSES]
                  [--RESPONSES-ADD-FOR-PATH RESPONSESADDFORPATH]
                  [--SEARCH-PATTERN SEARCHPATTERN]
                  [--SEARCH-CUSTOM-FINGERPRINT SEARCHFINGERPRINT]
                  [--SEARCH-WAPPALYZER SEARCHWAPPALYZER] [--NO-TSIG-KEY]
                  [--TSIG-KEY-IMPORT IMPORTTSIGFILE]
                  [--TSIG-KEY-REPLACE REPLACEMENTTSIGFILE]
                  [--DELETE-TSIG TSIGTODELETE]
                  [--USE-TSIG-FILE-ONLY USETSIGFILEONLY]
                  [--DOWNLOAD-NEW-WAPPALYZER] [--LIST-WAPPALYZER-TECH-NAMES]
                  [--ZONE-XFER] [--ADD-DOMAIN DOMAINDETAILS]
                  [--DELETE-DOMAIN DOMAINTODELETE]
                  [--IMPORT-ZONE-FILE IMPORTZONEFILE] [--CLEAR-DOMAINS]
                  [--LIST-DOMAINS] [--LIST-OUTSIDE] [--SQL-CREDS SQLCREDSFILE]