OWASP SAPKiln

SAP 🌎의 세계는 매우 광범위하고 독특합니다. SAP는 다양한 문제를 해결하기 위한 여러 제품과 NetWeaver 등과 같은 여러 기술 플랫폼을 보유하고 있습니다. SAPKiln은 SAP Logon/GUI(데스크톱 애플리케이션)를 통해 SAP 시스템의 효율적인 감사 및 침투 테스트를 수행할 수 있도록 보안 연구자를 지원하기 위해 설계된 오픈소스 GUI 도구 💻입니다. 사용자 친화적인 인터페이스 ✨로 보안 점검 수행 프로세스를 간소화하므로, 경험이 풍부한 SAP 전문가와 SAP 환경에 익숙하지 않은 사용자 모두에게 적합합니다.

백엔드에서 saplogon.exe와 SAP 스크립팅에 의해 구동되는 🔋 SAPKiln은 SAP 시스템에서 자동화된 점검을 수행합니다. 현재 버전(v1.0)은 10개의 모듈로 나뉜 70개 이상의 포괄적인 점검 항목 ❗을 제공합니다. 내장된 점검 외에도 SAPKiln은 동적 점검을 통한 유연성을 제공하여 사용자 지정 입력을 수용합니다. 보안 평가를 자동화함으로써 SAPKiln은 SAP 도메인 전문가 👓와 비교하여 보안 연구자 👮의 지식 격차를 효과적으로 해소합니다.

포함된 모듈 🌀

• 기본 SAP 자격 증명으로 로그인 시도
• 액세스 가능한 T-Code 열거
• 액세스 가능한 테이블 열거
• SAP_ALL 프로필 사용 열거
• 비밀번호 정책 열거
• 취약한 비밀번호 해시 열거 (사용자)
• 취약한 비밀번호 해시 열거 (해시)
• OS 명령 실행 - RSBDCOS0
• OS 명령 실행 - SAPXPG
• 측면 이동을 위한 인스턴스 열거

설치 🛠️

git clone https://github.com/alexdevassy/SAPkiln.git
cd SAPKiln
pip install -r requirements.txt

*SAPKiln v1.0은 pywin32 라이브러리에 대한 의존성 때문에 Windows에서만 지원됩니다. python 3.10.11을 사용하는 windows 10에서 테스트되었습니다.

사전 요구 사항 🚧

SAPKiln을 실행하기 전에 아래 사전 요구 사항이 충족되었는지 확인하세요.

• 백엔드 SAP 시스템에서 SAP 스크립팅이 활성화되어 있어야 합니다.
  • SAP 스크립팅을 활성화하려면 T-Code "RZ11"을 실행하고 "sapgui/user_scripting"을 검색한 후 값을 "False"에서 "True"로 변경하세요.

선택적 사전 요구 사항

• SAP GUI에서 SAP 스크립팅 옵션이 선택 해제되어 있어야 합니다.
  • SAP GUI 내에서 "Options"로 이동하고, 옵션 안에서 "Accessibility & Scripting" -> "Scripting"으로 이동한 후 아래 옵션을 선택 해제하세요.
    • "Notify when a script attaches to SAP GUI"
    • "Notify when a script opens a connection"

사용 방법 👾

python .\SAPKiln.py

https://github.com/OWASP/OWASP-SAPKiln/assets/31893005/7a28e87c-3b40-4ea0-88cd-510088d5f392