pyfiscan

Informazioni

Pyfiscan è uno scanner gratuito di vulnerabilità e versioni per applicazioni web e può essere utilizzato per individuare versioni obsolete di applicazioni web comuni su server Linux. Un caso d'uso tipico è quello dei provider di hosting che monitorano le installazioni dei loro utenti per tenersi aggiornati sulle patch di sicurezza. Le impronte digitali sono facili da creare e modificare poiché l'utente può scriverle in sintassi YAML. Pyfiscan include anche uno strumento per creare avvisi email tramite template.

Requisiti

• Python 3
• Moduli Python: PyYAML, docopt, chardet
• Server web GNU/Linux

I test vengono effettuati principalmente con GNU/Linux Debian stable. Windows non è attualmente supportato.

Rileva i seguenti software

• Abantecart
• ATutor
• b2evolution
• BigTree CMS
• Bugzilla
• Centreon
• Claroline
• ClipperCMS
• CMSimple
• CMSimple_XH
• CMSMS
• Collabtive
• Concrete5
• Coppermine
• Cotonti
• Croogo
• CubeCart
• Dolibarr
• Dotclear
• Drupal
• e107
• Elefant CMS
• EspoCRM
• Etherpad
• flatCore CMS
• FluxBB
• Foswiki
• FUEL CMS
• Gallery
• Gollum
• HelpDEZk
• HumHub
• ImpressCMS
• ImpressPages
• Jamroom
• Joomla
• Kanboard
• KCFinder
• LiteCart
• Magnolia
• Mahara
• MantisBT
• MediaWiki
• Microweber
• MiniBB
• MODX Revolution
• MoinMoin
• MyBB
• Nibbleblog
• Open Source Social Network
• OpenCart (recommends not to use this software)
• osDate
• ownCloud
• Oxwall
• PBBoard
• phpBB3
• PhpGedView
• phpLiteAdmin
• phpMyAdmin
• Piwigo
• Piwik
• PmWiki
• Postfix Admin
• Redaxo
• Redmine
• Roundcube
• SaurusCMS
• Serendipity
• Shaarli
• Shopware
• SMF
• Spina CMS
• SPIP
• SQLiteManager
• SquirrelMail
• TestLink
• TikiWiki
• Trac
• Vanilla Forums
• WikkaWiki
• WordPress
• Zenario
• Zenphoto
• Zikula

Rileva i seguenti software giunti a fine vita:

• Bugzilla 4.2 è giunto a fine vita il 2015-11-30
• Drupal 6 è giunto a fine vita il 2016-02-24
• Drupal 9.0 è giunto a fine vita
• Gallery 1
• Joomla 1.5 è giunto a fine vita il 2012-04-30
• Joomla 1.6 è giunto a fine vita il 2011-08-19. 1.6.x dovrebbe essere aggiornato a 1.6.6 prima di passare a 1.7.x
• Joomla 1.7 è giunto a fine vita il 2012-02-24
• Joomla 2.5
• MediaWiki 1.18
• MediaWiki 1.19 è giunto a fine vita il 2015-04-25
• MediaWiki 1.20
• MediaWiki 1.21 è giunto a fine vita il 2014-06-25
• MediaWiki 1.22
• MediaWiki 1.23 è giunto a fine vita il 2017-05-31
• MediaWiki 1.24
• MediaWiki 1.25
• MediaWiki 1.26 è giunto a fine vita il 2016-11-20
• MediaWiki 1.27 è giunto a fine vita il 2019-06-06
• MediaWiki 1.28 è giunto a fine vita il 2017-11-01
• MediaWiki 1.29 è giunto a fine vita il 2018-06
• MediaWiki 1.30 è giunto a fine vita il 2019-06-06
• MediaWiki 1.31 è giunto a fine vita il 2021-09-30
• MediaWiki 1.32 è giunto a fine vita il

Installazione

sudo apt install python3 python3-pip git virtualenv
git clone https://github.com/fgeek/pyfiscan.git && cd pyfiscan
virtualenv -p python3 venv
source ./venv/bin/activate
pip3 install -r requirements.lst

oppure puoi usare BlackArch Linux.

Note

• WordPress
  • Annuncio di un fork sicuro di SWFUpload
• Joomla
  • L'aggiornamento dovrebbe essere effettuato usando "Extension manager -> Upgrade" nella versione 1.6.6 e successive
  • Ciclo di rilascio e supporto
  • Lista di controllo per la sicurezza dell'installazione
  • Aggiornare e migrare Joomla
  • Joomla 2.x crea un prefisso casuale per le tabelle SQL
  • Joomla 3.x informa e mostra all'utente un pulsante per rimuovere la directory di installazione
  • Crea ./configuration.php durante l'installazione
  • Crea robots.txt, che contiene la parola "Joomla"
• SMF
  • Fine vita di SMF 1.0
  • Il programma di installazione richiede agli utenti di cliccare un pulsante per eliminare install.php
• TikiWiki
  • Fine vita di TikiWiki 7.x
  • 8.4 è l'ultima versione di TikiWiki 8.x
  • Fine vita di TikiWiki 8.x
• MediaWiki
  • Fine vita di 1.18.x
• Gallery
  • Non installato quando config.php è assente.
  • http://codex.galleryproject.org/Gallery2:Security
  • Aggiornamento usando: http://example.org/gallery3/index.php/upgrade php index.php upgrade
• phpBB (versione sconosciuta)
  • Un'installazione aperta non è una vulnerabilità poiché l'interfaccia web richiede all'utente di autenticarsi inserendo dati casuali in un file.
• Coppermine
  • Non installato quando include/config.inc.php è assente.

Utenti soddisfatti

• DevNet Oy
• Kapsi Internet-käyttäjät ry
• Shellit.org
• Loopia.se

Contributori

• aapa
• Ari-Martti Hopiavuori
• Atte H. "guaqua"
• Janne Cederberg
• Joonas Kuorilehto
• Juhamatti Niemelä
• Linus Fogelholk
• motikan2010
• Olli Pekkola
• Paul Grant
• Tuomo Komulainen