masc

एक मैलवेयर (वेब) स्कैनर जो CyperCamp हैकाथॉन 2017 के दौरान विकसित किया गया

परिचय

होमपेज

PyPI

विशेषताएं

इस समय, किसी भी प्रकार की वेबसाइट (कस्टम या CMS) के लिए कुछ सुविधाएं उपलब्ध हैं और उनमें से कुछ केवल विशिष्ट प्लेटफार्मों के लिए उपलब्ध हैं:

• OWASP WebMalwareScanner चेकसम, YARA नियम डेटाबेस और ClamAV इंजन (यदि उपलब्ध हो) का उपयोग करके किसी भी वेबसाइट को मैलवेयर के लिए स्कैन करें
• वेबसाइट सुरक्षा में सुधार के लिए कुछ सफाई संचालन करें
• वेबसाइट में बदलावों की निगरानी करें। विवरण एक लॉग फ़ाइल में लिखे जाते हैं
• अपनी साइट को स्कैन करें ताकि पता चले कि यह किसी मैलवेयर से संक्रमित है या नहीं
• अपने स्थानीय बैकअप की सूची बनाएं
• लॉगिंग समर्थन
• अपनी साइट का बैकअप लें
• वेबसाइट पुनर्स्थापित करें
• संदिग्ध फ़ाइलों की स्कैन करें और एक स्वच्छ इंस्टॉलेशन से तुलना करें (Wordpress और Drupal के लिए)
• हमलावरों को अतिरिक्त जानकारी देने से बचने के लिए अपनी साइट को साफ़ करें (केवल Wordpress के लिए उपलब्ध)

स्थापना

अपने कंप्यूटर पर masc स्थापित करने के लिए, आप बस इस रिपॉजिटरी को क्लोन कर सकते हैं। आप नवीनतम रिलीज़ डाउनलोड कर सकते हैं, इसे अनटार करके आज़मा सकते हैं। या शायद आप इसे pip ('pip3 install masc') का उपयोग करके स्थापित करना पसंद करेंगे।

इसे चलाने से पहले आवश्यकताएं जांचें।

यदि आप Debian Linux का उपयोग कर रहे हैं तो पहले यह सूचना जांचें।

यदि आप Mac OSX का उपयोग कर रहे हैं तो पहले यह सूचना जांचें।

masc का परीक्षण केवल Linux और Mac OSX प्लेटफार्मों पर किया गया है। यह Windows पर चलना चाहिए लेकिन मैंने अभी तक प्रयास नहीं किया है।

आवश्यकताएं

सबसे पहले, ध्यान दें कि यह उपकरण Linux और Mac OSX वातावरण में विकसित किया गया है और, इस समय, इसका परीक्षण केवल इन ऑपरेटिंग सिस्टमों पर किया गया है

• Python >= 3
• कुछ Python लाइब्रेरीज़
  • python-magic
  • yara-python
  • watchdog
  • termcolor
  • pypandoc
  • progress
  • pyclamd

santi@zenbook:$ pip3 install python-magic yara-python watchdog termcolor pypandoc progress pyclamd

• अपने इंजन के साथ एकीकृत करने के लिए ClamAV (वैकल्पिक लेकिन अनुशंसित)

Debian उपयोगकर्ताओं/डेवलपर्स के लिए सूचना

मेरे नोटबुक में, Debian testing में अपग्रेड करने के बाद, masc ने Yara से संबंधित एक त्रुटि दिखाना शुरू कर दिया

OSError: /usr/lib/libyara.so: cannot open shared object file: No such file or directory

इंटरनेट पर मिले बहुत से समाधानों को आज़माने के बाद, मुझे एहसास हुआ कि यह फ़ाइल मेरे कंप्यूटर में /usr/local/lib/python3.5/dist-packages/usr/lib में स्थित थी, इसलिए मैंने पिछले पथ से /usr/lib तक एक सांकेतिक लिंक बनाया

santi@zenbook:$ ln -s /usr/local/lib/python3.5/dist-packages/usr/lib/libyara.so /usr/lib/libyara.so

और अब, masc और Yara लाइब्रेरी बिना किसी समस्या के चल रहे हैं।

MacOS उपयोगकर्ताओं/डेवलपर्स के लिए सूचना

masc Linux पर विकसित किया गया है लेकिन इसका परीक्षण Mac OSX पर किया गया है। फिर भी, इसे किसी भी Unix-अनुकूल OS पर बिना किसी समस्या के चलना चाहिए।

विशेष रूप से, Mac OSX में मैंने देखा है कि python-magic लाइब्रेरी को libmagic के रूप में ठीक से उपयोग करने के लिए Homebrew स्थापित करना आवश्यक है। पहले brew होमपेज के पिछले लिंक की जांच करें और फिर आप नीचे दिखाए अनुसार स्थापित करने में सक्षम होंगे:

santi@zenbook:$ brew install libmagic

इसके अलावा, मेरे कंप्यूटर में मुझे masc.py स्क्रिप्ट की पहली पंक्ति बदलनी पड़ी। Python3 /usr/local/bin में स्थापित है और /usr/bin से सिमलिंक बनाने की अनुमति नहीं है

masc.py में पहली पंक्ति बदलें

#!/usr/bin/python3

इस पंक्ति से

#!/usr/local/bin/python3

वैसे भी, आप स्क्रिप्ट को सीधे चलाने के बजाय Python इंटरप्रेटर का उपयोग करके हमेशा masc चला सकते हैं:

santi@zenbook:$ python3 masc.py

उपयोग

usage: masc [-h] [-af FILENAME] [--aw STRING] [-cc] [-c] [-l] [-b] [-m]
               [-n NAME] [-p PATH] [-r] [-s] [-t {wordpress,drupal,custom}]

optional arguments:
  -h, --help            show this help message and exit
  -af FILENAME, --add-file FILENAME
                        Add a suspect file to the dictionary
  -aw STRING --add-word STRING
                        Add a suspect content to the dictionary
  -cc, --clean-cache        Clean masc cache (cache and logs files, NO backups)
  -c, --clean-site          Clean up the site (and apply some extra actions to hide information to attackers)
  -l, --list-backups        List local backups
  -b, --make-backup         Create a local backup of the current installation
  -m, --monitor             Monitor site to detect changes
  -n NAME, --name NAME      Name assigned to the scanned installation
  -p PATH, --path PATH      Website installation path
  -r, --rollback            Restore a local backup
  -s, --scan                Scan website for malware
  -t {wordpress,drupal,custom}, --site-type {wordpress,drupal,custom}
                        which type of web you want to scan:: wordpress,
                        joomla, drupal or magento

वे क्रियाएं जो आप एक वेब इंस्टॉलेशन पर कर सकते हैं, वे हैं:

• -s, --scan (--clean-site विकल्प के साथ या बिना)
• -r, --rollback (इसके विकल्पों के साथ)
• -m, --monitor (इसके विकल्पों के साथ)
• -b, --make-backup (इसके विकल्पों के साथ)
• -l, --list-backups

और आपको यह ध्यान रखना होगा कि यदि आप किसी प्रकार की वेब इंस्टॉलेशन पर कुछ क्रियाएं करना चाहते हैं, तो प्रकार (-t या --type) और पथ (-p या --path) निर्दिष्ट करना अनिवार्य है।

उदाहरण के लिए, यदि आपके पास /var/www/html में WordPress इंस्टॉलेशन है और आप इसे पूरी तरह से स्कैन करना चाहते हैं:

santi@zenbook:$ ./masc.py --scan --site-type wordpress --path /var/www/html

और यदि आप सफाई क्रियाएं करना चाहते हैं (उदाहरण के लिए, कुछ मैलवेयर हटाने के लिए):

santi@zenbook:$ ./masc.py --scan --site-type wordpress --path /var/www/html --clean-site

परीक्षण

samples ज़िप फ़ाइल में हैक की गई वेबसाइटों के दो नमूने हैं:

• drupal: कुछ मैलवेयर स्क्रिप्ट के साथ स्वच्छ Drupal इंस्टॉलेशन। आप इसका उपयोग विकास के दौरान अपना परीक्षण करने के लिए कर सकते हैं
• wordpress: परीक्षण के लिए कुछ मैलवेयर के साथ स्वच्छ WordPress इंस्टॉलेशन। इस प्रकार के CMS में लागू की गई अतिरिक्त सुविधाओं का परीक्षण करने के लिए कुछ सुरक्षा छेद जैसे खाली निर्देशिकाएं और कुछ गलत अनुमतियां भी हैं

इसके अलावा, परीक्षण करने के लिए Docker Hub में एक रिपॉजिटरी है masc-wordpress

दस्तावेज़ीकरण

आप wiki पर masc का उपयोग करने के बारे में एक ट्यूटोरियल पा सकते हैं

योगदान कैसे करें

यदि आप इस परियोजना में योगदान देना चाहते हैं, तो wiki पर एक नज़र डालें। एक अनुभाग है इस परियोजना में योगदान कैसे करें

धन्यवाद

OWASP WebMalwareScanner को धन्यवाद, कुछ विचारों और चेकसम और YARA नियमों के साथ हस्ताक्षर डेटाबेस (और इसके साथ काम करने के लिए इसे कैसे लोड करें) के लिए।

लेखक

Santiago Faci [email protected]