pyfiscan

À propos

Pyfiscan est un scanner gratuit de vulnérabilités et de versions d'applications web, utilisable pour localiser les versions obsolètes d'applications web courantes sur des serveurs Linux. Un cas d'utilisation typique est celui des hébergeurs qui surveillent les installations de leurs utilisateurs pour suivre les mises à jour de sécurité. Les empreintes sont faciles à créer et à modifier, l'utilisateur pouvant les écrire en syntaxe YAML. Pyfiscan contient également un outil pour créer des alertes par courriel à l'aide de modèles.

Prérequis

• Python 3
• Modules Python : PyYAML, docopt, chardet
• Serveur web GNU/Linux

Les tests sont principalement effectués avec GNU/Linux Debian stable. Windows n'est actuellement pas pris en charge.

Détecte les logiciels suivants

• Abantecart
• ATutor
• b2evolution
• BigTree CMS
• Bugzilla
• Centreon
• Claroline
• ClipperCMS
• CMSimple
• CMSimple_XH
• CMSMS
• Collabtive
• Concrete5
• Coppermine
• Cotonti
• Croogo
• CubeCart
• Dolibarr
• Dotclear
• Drupal
• e107
• Elefant CMS
• EspoCRM
• Etherpad
• flatCore CMS
• FluxBB
• Foswiki
• FUEL CMS
• Gallery
• Gollum
• HelpDEZk
• HumHub
• ImpressCMS
• ImpressPages
• Jamroom
• Joomla
• Kanboard
• KCFinder
• LiteCart
• Magnolia
• Mahara
• MantisBT
• MediaWiki
• Microweber
• MiniBB
• MODX Revolution
• MoinMoin
• MyBB
• Nibbleblog
• Open Source Social Network
• OpenCart (recommande de ne pas utiliser ce logiciel)
• osDate
• ownCloud
• Oxwall
• PBBoard
• phpBB3
• PhpGedView
• phpLiteAdmin
• phpMyAdmin
• Piwigo
• Piwik
• PmWiki
• Postfix Admin
• Redaxo
• Redmine
• Roundcube
• SaurusCMS
• Serendipity
• Shaarli
• Shopware
• SMF
• Spina CMS
• SPIP
• SQLiteManager
• SquirrelMail
• TestLink
• TikiWiki
• Trac
• Vanilla Forums
• WikkaWiki
• WordPress
• Zenario
• Zenphoto
• Zikula

Détecte les logiciels suivants en fin de vie :

• Bugzilla 4.2 est en fin de vie depuis 2015-11-30
• Drupal 6 est en fin de vie depuis 2016-02-24
• Drupal 9.0 est en fin de vie
• Gallery 1
• Joomla 1.5 est en fin de vie depuis 2012-04-30
• Joomla 1.6 est en fin de vie depuis 2011-08-19. La version 1.6.x doit être mise à niveau vers 1.6.6 avant de passer à 1.7.x
• Joomla 1.7 est en fin de vie depuis 2012-02-24
• Joomla 2.5
• MediaWiki 1.18
• MediaWiki 1.19 est en fin de vie depuis 2015-04-25
• MediaWiki 1.20
• MediaWiki 1.21 est en fin de vie depuis 2014-06-25
• MediaWiki 1.22
• MediaWiki 1.23 est en fin de vie depuis 2017-05-31
• MediaWiki 1.24
• MediaWiki 1.25
• MediaWiki 1.26 est en fin de vie depuis 2016-11-20
• MediaWiki 1.27 est en fin de vie depuis 2019-06-06
• MediaWiki 1.28 est en fin de vie depuis 2017-11-01
• MediaWiki 1.29 est en fin de vie depuis 2018-06
• MediaWiki 1.30 est en fin de vie depuis 2019-06-06
• MediaWiki 1.31 est en fin de vie depuis 2021-09-30
• MediaWiki 1.32 est en fin de vie depuis

Installation

sudo apt install python3 python3-pip git virtualenv
git clone https://github.com/fgeek/pyfiscan.git && cd pyfiscan
virtualenv -p python3 venv
source ./venv/bin/activate
pip3 install -r requirements.lst

ou vous pouvez utiliser BlackArch Linux.

Remarques

• WordPress
  • Annonce d'un fork sécurisé de SWFUpload
• Joomla
  • La mise à niveau doit être effectuée avec "Gestionnaire d'extensions -> Mettre à niveau" dans la version 1.6.6 et ultérieures
  • Cycle de publication et de support
  • Liste de contrôle de sécurité pour l'installation
  • Mise à niveau et migration de Joomla
  • Joomla 2.x crée un préfixe de table SQL aléatoire
  • Joomla 3.x informe et affiche un bouton pour supprimer le répertoire d'installation
  • Crée ./configuration.php lors de l'installation
  • Crée robots.txt, qui contient le mot "Joomla"
• SMF
  • Fin de vie de SMF 1.0
  • L'installateur demande aux utilisateurs de cliquer sur un bouton pour supprimer install.php
• TikiWiki
  • Fin de vie de TikiWiki 7.x
  • 8.4 est la dernière version de TikiWiki 8.x
  • Fin de vie de TikiWiki 8.x
• MediaWiki
  • Fin de vie de 1.18.x
• Gallery
  • Non installé si config.php est manquant.
  • http://codex.galleryproject.org/Gallery2:Security
  • Mise à niveau en utilisant : http://example.org/gallery3/index.php/upgrade php index.php upgrade
• phpBB (version inconnue)
  • L'installation ouverte n'est pas une vulnérabilité car l'interface web demande à l'utilisateur de s'authentifier en insérant des données aléatoires dans un fichier.
• Coppermine
  • Non installé si include/config.inc.php est manquant.

Utilisateurs satisfaits

• DevNet Oy
• Kapsi Internet-käyttäjät ry
• Shellit.org
• Loopia.se

Contributeurs

• aapa
• Ari-Martti Hopiavuori
• Atte H. "guaqua"
• Janne Cederberg
• Joonas Kuorilehto
• Juhamatti Niemelä
• Linus Fogelholk
• motikan2010
• Olli Pekkola
• Paul Grant
• Tuomo Komulainen