hsecscan

HTTP प्रतिक्रिया हैडर के लिए एक सुरक्षा स्कैनर.

आवश्यकताएँ

• Python 2.x

Python मॉड्यूल

• os.path
• argparse
• sqlite3
• urlparse
• urllib2
• urllib
• json
• ssl

स्थापना

$ pip install hsecscan

उपयोग

$ hsecscan 
usage: hsecscan.py [-h] [-P] [-p] [-H Header] [-u URL] [-R] [-i]
                   [-U User-Agent] [-D DBFILE] [-d 'POST data'] [-x PROXY]
                   [-a]

HTTP प्रतिक्रिया हैडर के लिए एक सुरक्षा स्कैनर.

वैकल्पिक तर्क:
  -h, --help            यह सहायता संदेश दिखाएँ और बाहर निकलें।
  -P, --database        संपूर्ण प्रतिक्रिया हैडर डेटाबेस प्रिंट करें।
  -p, --headers         केवल सक्षम प्रतिक्रिया हैडर को डेटाबेस से प्रिंट करें।
  -H Header, --header Header
                        एक विशिष्ट हैडर के लिए विवरण प्रिंट करें (उदाहरण: Strict-
                        Transport-Security).
  -u URL, --URL URL     स्कैन किए जाने वाला URL.
  -R, --redirect        रीडायरेक्ट हैडर प्रिंट करें।
  -i, --insecure        प्रमाणपत्र सत्यापन अक्षम करें।
  -U User-Agent, --useragent User-Agent
                        User-Agent अनुरोध हैडर सेट करें (डिफ़ॉल्ट: hsecscan).
  -D DBFILE, --dbfile DBFILE
                        डेटाबेस फ़ाइल सेट करें (डिफ़ॉल्ट: hsecscan.db).
  -d 'POST data', --postdata 'POST data'
                        POST डेटा सेट करें (एकल उद्धरणों के बीच) अन्यथा GET होगा (उदाहरण: '{ "q":"query string",
                        "foo":"bar" }').
  -x PROXY, --proxy PROXY
                        प्रॉक्सी सर्वर सेट करें (उदाहरण: 192.168.1.1:8080).
  -a, --all             सभी प्रतिक्रिया हैडर के लिए विवरण प्रिंट करें। संबंधित RFC की जाँच के लिए अच्छा है।

उदाहरण

$ hsecscan -i -u https://google.com
>> RESPONSE INFO <<
URL: https://www.google.com.br/?gfe_rd=cr&ei=GF5HV4ucH7DL8geg-aK4Dw
Code: 200
Headers:
 Date: Thu, 26 May 2016 20:35:36 GMT
 Expires: -1
 Cache-Control: private, max-age=0
 Content-Type: text/html; charset=ISO-8859-1
 P3P: CP="This is not a P3P policy! See https://www.google.com/support/accounts/answer/151657?hl=en for more info."
 Server: gws
 X-XSS-Protection: 1; mode=block
 X-Frame-Options: SAMEORIGIN
 Set-Cookie: NID=79=hDENeVI81zBYDtmqeCKAc5mxg6AQ-S24ahNqZ8El37rlJmYwUtgJg4vXAya7jKSyB2VqYI33JlLPacGonMPajpcDpUkb7mMtWMbNwIZQ8CyQBA1qXsRhjlLXU_4WExlI; expires=Fri, 25-Nov-2016 20:35:36 GMT; path=/; domain=.google.com.br; HttpOnly
 Alternate-Protocol: 443:quic
 Alt-Svc: quic=":443"; ma=2592000; v="34,33,32,31,30,29,28,27,26,25"
 Accept-Ranges: none
 Vary: Accept-Encoding
 Connection: close

>> RESPONSE HEADERS DETAILS <<
Header Field Name: X-XSS-Protection
Value: 1; mode=block
Reference: http://blogs.msdn.com/b/ie/archive/2008/07/02/ie8-security-part-iv-the-xss-filter.aspx
Security Description: यह हैडर अधिकांश आधुनिक वेब ब्राउज़रों में निर्मित क्रॉस-साइट स्क्रिप्टिंग (XSS) फ़िल्टर को सक्षम करता है। यह आमतौर पर डिफ़ॉल्ट रूप से पहले से सक्षम होता है, इसलिए इस हैडर की भूमिका इस विशेष वेबसाइट के लिए फ़िल्टर को पुनः सक्षम करना है यदि इसे उपयोगकर्ता द्वारा अक्षम किया गया था। यह हैडर IE 8+ और Chrome में समर्थित है (यह सुनिश्चित नहीं है कि कौन से संस्करण)। Anti-XSS फ़िल्टर Chrome 4 में जोड़ा गया था। यह अज्ञात है कि उस संस्करण ने इस हैडर का सम्मान किया या नहीं।
Security Reference: https://www.owasp.org/index.php/List_of_useful_HTTP_headers
Recommendations: जब भी संभव हो "X-XSS-Protection: 1; mode=block" का उपयोग करें (संदर्भ: http://blogs.msdn.com/b/ieinternals/archive/2011/01/31/controlling-the-internet-explorer-xss-filter-with-the-x-xss-protection-http-header.aspx)।
CWE: CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
CWE URL: https://cwe.mitre.org/data/definitions/79.html

Header Field Name: Set-Cookie
Value: NID=79=hDENeVI81zBYDtmqeCKAc5mxg6AQ-S24ahNqZ8El37rlJmYwUtgJg4vXAya7jKSyB2VqYI33JlLPacGonMPajpcDpUkb7mMtWMbNwIZQ8CyQBA1qXsRhjlLXU_4WExlI; expires=Fri, 25-Nov-2016 20:35:36 GMT; path=/; domain=.google.com.br; HttpOnly
Reference: https://tools.ietf.org/html/rfc6265
Security Description: कुकीज़ में कई सुरक्षा कमियाँ हैं। विशेष रूप से, कुकीज़ डेवलपर्स को प्रमाणीकरण के लिए परिवेश प्राधिकरण पर निर्भर रहने के लिए प्रोत्साहित करती हैं, जो अक्सर क्रॉस-साइट अनुरोध जालसाजी जैसे हमलों के प्रति संवेदनशील हो जाती हैं। साथ ही, कुकीज़ में सत्र पहचानकर्ता संग्रहीत करते समय, डेवलपर्स अक्सर सत्र निर्धारण कमजोरियाँ पैदा करते हैं। HTTPS में नियोजित परिवहन-परत एन्क्रिप्शन, एक नेटवर्क हमलावर को पीड़ित की कुकीज़ प्राप्त करने या बदलने से रोकने के लिए अपर्याप्त है क्योंकि कुकी प्रोटोकॉल में स्वयं विभिन्न कमजोरियाँ हैं। इसके अलावा, डिफ़ॉल्ट रूप से, कुकीज़ नेटवर्क हमलावरों से गोपनीयता या अखंडता प्रदान नहीं करती हैं, भले ही HTTPS के साथ उपयोग किया जाए।
Security Reference: https://tools.ietf.org/html/rfc6265#section-8
Recommendations: कृपया कम से कम इन संदर्भों को पढ़ें: https://tools.ietf.org/html/rfc6265#section-8 और https://www.owasp.org/index.php/Session_Management_Cheat_Sheet#Cookies।
CWE: CWE-614: Sensitive Cookie in HTTPS Session Without 'Secure' Attribute
CWE URL: https://cwe.mitre.org/data/definitions/614.html

Header Field Name: Accept-Ranges
Value: none
Reference: https://tools.ietf.org/html/rfc7233#section-2.3
Security Description: अनियंत्रित एकाधिक रेंज अनुरोध सेवा से इनकार हमलों के लिए संवेदनशील होते हैं क्योंकि समान डेटा के कई ओवरलैपिंग रेंज का अनुरोध करने के लिए आवश्यक प्रयास, कई भागों में अनुरोधित डेटा की सेवा करने के प्रयास में लगने वाले समय, मेमोरी और बैंडविड्थ की तुलना में बहुत छोटा होता है।
Security Reference: https://tools.ietf.org/html/rfc7233#section-6
Recommendations: सर्वरों को अत्यधिक रेंज अनुरोधों को अनदेखा, एकीकृत या अस्वीकार करना चाहिए, जैसे कि दो से अधिक ओवरलैपिंग रेंज या एक सेट में कई छोटी रेंज के अनुरोध, विशेष रूप से जब रेंज बिना किसी स्पष्ट कारण के क्रम से बाहर अनुरोधित की जाती हैं।
CWE: CWE-400: Uncontrolled Resource Consumption ('Resource Exhaustion')
CWE URL: https://cwe.mitre.org/data/definitions/400.html

Header Field Name: Server
Value: gws
Reference: https://tools.ietf.org/html/rfc7231#section-7.4.2
Security Description: अत्यधिक लंबे और विस्तृत Server फ़ील्ड मान प्रतिक्रिया विलंबता बढ़ाते हैं और संभावित रूप से आंतरिक कार्यान्वयन विवरण प्रकट करते हैं जो हमलावरों के लिए ज्ञात सुरक्षा छेद खोजने और उनका शोषण करना थोड़ा आसान बना सकते हैं।
Security Reference: https://tools.ietf.org/html/rfc7231#section-7.4.2
Recommendations: एक मूल सर्वर को अनावश्यक रूप से बारीक विवरण वाला Server फ़ील्ड उत्पन्न नहीं करना चाहिए और तीसरे पक्ष द्वारा उप-उत्पादों के जोड़ को सीमित करना चाहिए।
CWE: CWE-200: Information Exposure
CWE URL: https://cwe.mitre.org/data/definitions/200.html

Header Field Name: Cache-Control
Value: private, max-age=0
Reference: https://tools.ietf.org/html/rfc7234#section-5.2
Security Description: कैश अतिरिक्त संभावित कमजोरियों को उजागर करते हैं, क्योंकि कैश की सामग्री दुर्भावनापूर्ण शोषण के लिए एक आकर्षक लक्ष्य का प्रतिनिधित्व करती है। क्योंकि कैश सामग्री HTTP अनुरोध पूरा होने के बाद भी बनी रहती है, कैश पर हमला उस जानकारी को लंबे समय बाद प्रकट कर सकता है जब उपयोगकर्ता का मानना है कि जानकारी नेटवर्क से हटा दी गई है। इसलिए, कैश सामग्री को संवेदनशील जानकारी के रूप में संरक्षित करने की आवश्यकता है।
Security Reference: https://tools.ietf.org/html/rfc7234#section-8
Recommendations: कैश में अनावश्यक रूप से संवेदनशील जानकारी संग्रहीत न करें।
CWE: CWE-524: Information Exposure Through Caching
CWE URL: https://cwe.mitre.org/data/definitions/524.html