WebStor

Identificazione rapida di tecnologie web vulnerabili nella tua organizzazione

WebStor è uno strumento implementato in Python sotto licenza MIT per enumerare rapidamente tutti i siti web in tutte le reti della tua organizzazione, memorizzare le loro risposte e interrogare tecnologie e versioni web note, come quelle con vulnerabilità zero-day. È progettato in particolare per risolvere il problema unico che si presenta nelle organizzazioni di medie e grandi dimensioni con amministrazione decentralizzata, dove può essere quasi impossibile tenere traccia di tutte le tecnologie web implementate da vari amministratori distribuiti in diverse unità e reti.

WebStor raggiunge il suo obiettivo eseguendo le seguenti azioni:

1. Esegue trasferimenti di zona DNS per raccogliere i record A e CNAME di un'organizzazione.
2. Utilizza Masscan per scansionare le porte HTTP/HTTPS aperte sui range di rete dell'organizzazione, nonché su qualsiasi indirizzo IP al di fuori di tali range presente nei record A e CNAME dell'organizzazione.
3. Utilizza la libreria Python requests per raccogliere tutte le risposte e archiviarle in un database MariaDB. Tutti i nomi DNS corrispondenti a un IP con porte HTTP/HTTPS aperte saranno inclusi nelle richieste oltre all'indirizzo IP, in modo che i siti che utilizzano intestazioni diverse non facciano perdere un sito web.
4. Scarica il database delle tecnologie web Wappalyzer e lo archivia nel database MariaDB, consentendo agli utenti di interrogare le posizioni di una tecnologia web comune per nome.
5. Consente agli utenti di interrogare le posizioni in cui sono contenute espressioni regolari personalizzate all'interno delle risposte memorizzate.

Piattaforme supportate

WebStor attualmente funziona su sistemi Linux. Poiché è scritto in Python, la conversione per supportare Windows sarebbe banale e probabilmente avverrà in futuro.

Prerequisiti

Applicazioni

• Masscan
  • Se intendi utilizzare un cron job per aggiornare il database (tipico), è fondamentale che configuri sudo nopasswd per qualsiasi utente che esegue la scansione Masscan tramite WebStor.
• MariaDB 10.0.5 o successiva
  • Le credenziali predefinite provate da WebStor saranno root e password vuota. Vedere la sezione "Opzioni di sicurezza" per configurare WebStor all'uso di altri nomi utente e password per connettersi al database.

Librerie Python

• pip3 install dnspython
• pip3 install beautifulsoup4
• pip3 install mysql-connector-python
• pip3 install js-regex
• pip3 install gevent
• pip3 install requests

Disponibilità tramite PyPI

• Se desideri semplicemente eseguire WebStor e non modificarlo, puoi installare i applicazioni prerequisiti e quindi utilizzare 'sudo pip3 install webstor'.
• Dopo aver installato WebStor tramite PyPI, webstor sarà nel percorso e può essere eseguito dalla riga di comando indipendentemente dalla directory di lavoro con 'webstor' invece di 'webstor.py', ad esempio 'webstor -g'.

Utilizzo di base

       webstor.py [-h] [--ADD-HTTP-PORT HTTPPORTTOADD] [--CLEAR-HTTP]
                  [--ADD-HTTPS-PORT HTTPSPORTTOADD] [--CLEAR-HTTPS]
                  [--ADD-CUSTOM-FINGERPRINT FINGERPRINT]
                  [--DELETE-CUSTOM-FINGERPRINT FINGERPRINTNAMETODELETE]
                  [--IMPORT-CUSTOM-FINGERPRINT IMPORTFINGERPRINTFILE]
                  [--CLEAR-CUSTOM-FINGERPRINTS] [--SHOW-CONFIG]
                  [--SHOW-CONFIG-FULL] [--RUN-MASSCAN]
                  [--SET-MASSCAN-RANGES SETSCANRANGES]
                  [--ADD-RANGE RANGETOADD] [--DELETE-RANGE RANGETODELETE]
                  [--IMPORT-MASSCAN-RANGES IMPORTSCANRANGES]
                  [--ADD-PATH PATHTOADD] [--DELETE-PATH PATHTODELETE]
                  [--CLEAR-PATHS] [--REFRESH-RESPONSES]
                  [--RESPONSES-ADD-FOR-PATH RESPONSESADDFORPATH]
                  [--SEARCH-PATTERN SEARCHPATTERN]
                  [--SEARCH-CUSTOM-FINGERPRINT SEARCHFINGERPRINT]
                  [--SEARCH-WAPPALYZER SEARCHWAPPALYZER] [--NO-TSIG-KEY]
                  [--TSIG-KEY-IMPORT IMPORTTSIGFILE]
                  [--TSIG-KEY-REPLACE REPLACEMENTTSIGFILE]
                  [--DELETE-TSIG TSIGTODELETE]
                  [--USE-TSIG-FILE-ONLY USETSIGFILEONLY]
                  [--DOWNLOAD-NEW-WAPPALYZER] [--LIST-WAPPALYZER-TECH-NAMES]
                  [--ZONE-XFER] [--ADD-DOMAIN DOMAINDETAILS]
                  [--DELETE-DOMAIN DOMAINTODELETE]
                  [--IMPORT-ZONE-FILE IMPORTZONEFILE] [--CLEAR-DOMAINS]
                  [--LIST-DOMAINS] [--LIST-OUTSIDE] [--SQL-CREDS SQLCREDSFILE]