OWASP SAPKiln

Le monde 🌎 de SAP est très vaste et unique. SAP dispose de multiples produits pour résoudre divers problèmes ainsi que de multiples plateformes technologiques telles que NetWeaver, etc. SAPKiln est un outil GUI open source 💻 conçu pour permettre aux chercheurs en sécurité de réaliser des audits et des tests d'intrusion efficaces des systèmes SAP via SAP Logon/GUI (application de bureau). Il s'adresse à la fois aux professionnels SAP expérimentés et à ceux qui ne connaissent pas l'environnement SAP, car il simplifie le processus de réalisation des contrôles de sécurité grâce à une interface conviviale ✨.

Alimenté 🔋 par saplogon.exe et le scripting SAP en arrière-plan, SAPKiln exécute des contrôles automatisés dans le système SAP. La version actuelle (v1.0) propose un éventail complet de plus de 70+ contrôles ❗ répartis en 10 modules. Au-delà de ses contrôles intégrés, SAPKiln offre une flexibilité grâce à des contrôles dynamiques, prenant en charge les entrées utilisateur personnalisées. En automatisant les évaluations de sécurité, SAPKiln comble efficacement le fossé de connaissances des chercheurs en sécurité 👮 par rapport aux experts du domaine SAP 👓.

Modules inclus 🌀

• Tentative de connexion avec les identifiants SAP par défaut
• Énumération des T-Codes accessibles
• Énumération des tables accessibles
• Énumération de l'utilisation du profil SAP_ALL
• Énumération des politiques de mot de passe
• Énumération des hachages de mots de passe faibles (utilisateurs)
• Énumération des hachages de mots de passe faibles (hachages)
• Exécution de commandes OS - RSBDCOS0
• Exécution de commandes OS - SAPXPG
• Énumération des instances pour le mouvement latéral

Installation 🛠️

git clone https://github.com/alexdevassy/SAPkiln.git
cd SAPKiln
pip install -r requirements.txt

SAPKiln v1.0 n'est pris en charge que sous Windows en raison de sa dépendance avec la bibliothèque pywin32. Il est testé sur windows 10 avec python 3.10.11.

Prérequis 🚧

Avant d'exécuter SAPKiln, assurez-vous que le prérequis ci-dessous est satisfait.

• Le scripting SAP est activé dans le système SAP backend
  • Pour activer le scripting SAP, exécutez la T-Code « RZ11 », recherchez « sapgui/user_scripting », changez sa valeur de « False » à « True ».

Prérequis facultatifs

• Les options de scripting SAP sont décochées dans SAP GUI
  • Naviguez vers « Options » dans SAP GUI, puis dans les options vers « Accessibilité et scripting » -> « Scripting ». Et décochez les options ci-dessous
    • « Notifier lorsqu'un script s'attache à SAP GUI »
    • « Notifier lorsqu'un script ouvre une connexion »

Utilisation 👾

python .\SAPKiln.py

https://github.com/OWASP/OWASP-SAPKiln/assets/31893005/7a28e87c-3b40-4ea0-88cd-510088d5f392