OWASP SAPKiln

Il mondo 🌎 di SAP è molto vasto e unico. SAP dispone di numerosi prodotti per affrontare vari problemi, oltre a molteplici piattaforme tecnologiche come NetWeaver, ecc. SAPKiln è uno strumento GUI open-source 💻 progettato per consentire ai ricercatori di sicurezza di condurre audit efficienti e test di penetrazione dei sistemi SAP tramite SAP Logon/GUI (applicazione desktop). Si rivolge sia a professionisti SAP esperti sia a chi non ha familiarità con l'ambiente SAP, poiché semplifica il processo di esecuzione dei controlli di sicurezza con un'interfaccia user-friendly✨.

Alimentato 🔋 da saplogon.exe e dallo scripting SAP nel suo backend, SAPKiln esegue controlli automatizzati nel sistema SAP. La versione attuale (v1.0) vanta una gamma completa di oltre 70+ controlli ❗ suddivisi in 10 moduli. Oltre ai controlli integrati, SAPKiln offre flessibilità con controlli dinamici, supportando input personalizzati da parte dell'utente. Automatizzando le valutazioni di sicurezza, SAPKiln colma efficacemente il divario di conoscenze per i ricercatori di sicurezza 👮 rispetto agli esperti del dominio SAP👓.

Moduli inclusi 🌀

• Tenta il login con credenziali SAP predefinite
• Enumera i T-Code accessibili
• Enumera le tabelle accessibili
• Enumera l'utilizzo del profilo SAP_ALL
• Enumera le policy delle password
• Enumera gli hash delle password deboli (Utenti)
• Enumera gli hash delle password deboli (Hash)
• Esecuzione di comandi OS - RSBDCOS0
• Esecuzione di comandi OS - SAPXPG
• Enumera le istanze per il movimento laterale

Installazione 🛠️

git clone https://github.com/alexdevassy/SAPkiln.git
cd SAPKiln
pip install -r requirements.txt

SAPKiln v1.0 è supportato solo su Windows a causa della sua dipendenza dalla libreria pywin32. È stato testato su windows 10 con python 3.10.11.

Prerequisiti 🚧

Prima di eseguire SAPKiln assicurati che il prerequisito seguente sia soddisfatto.

• Lo scripting SAP è abilitato nel sistema SAP backend
  • Per abilitare lo scripting SAP, esegui il T-Code "RZ11", cerca "sapgui/user_scripting", cambia il suo valore da "False" a "True".

Prerequisiti opzionali

• Le opzioni di scripting SAP sono deselezionate in SAP GUI
  • Naviga fino a "Options" all'interno di SAP GUI, all'interno delle opzioni vai su "Accessibility & Scripting" -> "Scripting". E deseleziona le opzioni seguenti
    • "Notify when a script attaches to SAP GUI"
    • "Notify when a script opens a connection"

Utilizzo 👾

python .\SAPKiln.py

https://github.com/OWASP/OWASP-SAPKiln/assets/31893005/7a28e87c-3b40-4ea0-88cd-510088d5f392