概要

PlownはPlone CMS向けのセキュリティスキャナです。Ploneは主要CMSの中でも最も優れたセキュリティ実績を持ち、非常に安全とされていますが、設定ミスや脆弱なパスワードによりシステムへの侵入が可能になる場合があります。Plownは、ユーザー名やパスワードの発見を容易にし、システム管理者がPloneサイトを強化するためのアシスタントとして機能するように開発されました。

インストール

PlownはPythonで書かれており、インストールは不要です。GitHubリポジトリをクローンして実行するだけです。

user@user:/Desktop$ git clone https://github.com/unweb/plown user@user:/Desktop$ cd plown user@user:~/Desktop/plown$ ./plown.py

Plownでできること

Plownには2つのモードがあります。列挙モードとブルートフォースモードです。列挙モードでは、ユーザー名を特定し、いくつかの既知の脆弱性が存在するかどうかを調べます。 ブルートフォースモードでは、指定されたユーザーとパスワードのリストを使用して、複数のスレッドで接続しながらPloneサイトへの認証を試みます。デフォルトでは16スレッドで開始され、その数は設定可能です。 Ploneのバージョン列挙は次期リリースで予定されています。

ヘルプ

ヘルプを表示するには、プログラムを引数なしで実行してください。

user@user:~/Desktop/plown$ ./plown.py

詳細

Ploneのセキュリティと、一般的なセキュリティ問題にPloneがどのように対処しているかについては、こちらをご覧ください：http://plone.org/products/plone/security/overview

今後の予定

• 静的ファイル（js、css）のmd5ハッシュに基づくPloneバージョン列挙。
• より優れたユーザー名列挙（サイトをクロールし、各ページのCreatorを確認）。
• 追加される脆弱性の拡充。

作者

Plownは at unweb dot me