À propos

Plown est un scanner de sécurité pour le CMS Plone. Bien que Plone ait le meilleur bilan de sécurité de tous les CMS majeurs et soit considéré comme très sécurisé, des erreurs de configuration et des mots de passe faibles peuvent permettre des intrusions. Plown a été développé pour faciliter la découverte des noms d'utilisateur et mots de passe, et servir d'assistant aux administrateurs système pour renforcer leurs sites Plone.

Installation

Plown est écrit en Python et ne nécessite pas d'installation. Il suffit de cloner le dépôt GitHub et de l'exécuter.

user@user:/Desktop$ git clone https://github.com/unweb/plown user@user:/Desktop$ cd plown user@user:~/Desktop/plown$ ./plown.py

Que peut faire Plown

Plown a deux modes : le mode d'énumération et le mode de force brute. En mode d'énumération, il essaie de trouver des noms d'utilisateur et de déterminer si plusieurs vulnérabilités connues existent. En mode de force brute, Plown essaiera de s'authentifier sur un site Plone en utilisant une liste d'utilisateurs et de mots de passe spécifiée, en se connectant avec plusieurs threads. Par défaut, 16 threads sont lancés, ce nombre étant configurable. L'énumération de la version de Plone est prévue pour la prochaine version de Plown.

Aide

Exécutez simplement le programme sans aucun argument pour obtenir de l'aide user@user:~/Desktop/plown$ ./plown.py

Plus

Apprenez-en plus sur la sécurité de Plone et comment Plone traite les problèmes de sécurité courants : http://plone.org/products/plone/security/overview

À faire

Énumération de la version de Plone, basée sur les hachages md5 de fichiers statiques (js, css). Meilleure énumération des noms d'utilisateur (parcourir le site et examiner le Créateur de chaque page). Plus de vulnérabilités à ajouter.

Auteur

Plown a été créé par provetza de https://unweb.me. provetza at unweb dot me

Testé sur

Python2.4, 2.6, 2.7

Crédits

Tout le crédit va aux créateurs de Plone pour cet incroyable CMS.