Informazioni

Plown è uno scanner di sicurezza per il CMS Plone. Sebbene Plone abbia il miglior storico di sicurezza tra i principali CMS e sia considerato altamente sicuro, configurazioni errate e password deboli potrebbero consentire intrusioni nel sistema. Plown è stato sviluppato per facilitare la scoperta di nomi utente e password e per assistere gli amministratori di sistema nel rafforzare i propri siti Plone.

Installazione

Plown è scritto in Python e non richiede installazione. Basta clonare il repository github ed eseguirlo.

user@user:/Desktop$ git clone https://github.com/unweb/plown user@user:/Desktop$ cd plown user@user:~/Desktop/plown$ ./plown.py

Cosa può fare Plown

Plown ha due modalità: modalità enumerazione e modalità forza bruta. In modalità enumerazione cerca di trovare nomi utente e di scoprire se esistono diverse vulnerabilità note. In modalità forza bruta, Plown tenterà di autenticarsi a un sito Plone utilizzando un elenco specificato di utenti e password, connettendosi con più thread. Di default vengono avviati 16 thread, con tale numero configurabile. L'enumerazione della versione di Plone è prevista per la prossima release di Plown.

Aiuto

Basta eseguire il programma senza argomenti per ottenere aiuto user@user:~/Desktop/plown$ ./plown.py

Ulteriori informazioni

Scopri di più sulla sicurezza di Plone e su come Plone affronta i problemi di sicurezza comuni: http://plone.org/products/plone/security/overview

Da fare

Enumerazione della versione di Plone, basata su hash md5 di contenuti statici (js, css). Migliore enumerazione dei nomi utente (crawl del sito e ricerca del Creatore di ogni pagina). Altre vulnerabilità da aggiungere.

Autore

Plown è stato creato da provetza di https://unweb.me. provetza at unweb dot me

Testato su

Python2.4, 2.6, 2.7

Crediti

Tutti i crediti vanno ai creatori di Plone per questo fantastico CMS.