snallygaster

Encontra vazamentos de arquivos e outros problemas de segurança em servidores HTTP.

o quê?

snallygaster é uma ferramenta que procura por arquivos acessíveis em servidores web que não deveriam ser públicos e podem representar um risco de segurança.

Exemplos típicos incluem repositórios git publicamente acessíveis, arquivos de backup potencialmente contendo senhas ou dumps de banco de dados. Além disso, contém algumas verificações para outras vulnerabilidades de segurança.

Como introdução a esses tipos de problemas, você pode querer assistir a esta palestra:

• Atacando com Requisições HTTP

Veja o arquivo TESTS.md para uma visão geral de todos os testes e links para mais informações sobre os problemas.

instalação

snallygaster está disponível via pypi:

pip3 install snallygaster

É um script simples em python 3, então você pode simplesmente baixar o arquivo "snallygaster" e executá-lo. As dependências são urllib3, lxml e dnspython. Em distribuições baseadas em Debian ou Ubuntu, você pode instalá-las via:

apt install python3-dnspython python3-lxml python3-urllib3

pacotes de distribuição

Alguns sistemas Linux e BSD possuem snallygaster empacotado:

• Gentoo
• NetBSD
• Arch Linux (versão git)
• openSUSE

Mais em Repology.

perguntas frequentes

P: Quero contribuir / enviar um patch / um pull request!

R: Isso é ótimo, mas por favor leia o arquivo CONTRIBUTIONS.md.

P: O que significa esse nome?

R: Snallygaster é o nome de um dragão que, segundo algumas lendas, foi visto em Maryland e outras partes dos EUA. Não há uma história de fundo específica para o nome desta ferramenta, além de eu estar procurando um nome divertido e interessante.

Achei que um nome de alguma criatura mítica seria legal, mas a maioria deles tinha o problema de causar colisão de nomes com outros softwares. Verificando a lista de dragões na Wikipedia, aprendi sobre o Snallygaster. O nome soava engraçado, a ideia de que existem lendas de dragões nos EUA era interessante e não encontrei nenhum outro software com esse nome.

créditos e agradecimentos

• Agradecimentos a Tim Philipp Schäfers e Sebastian Neef do Internetwache por muitas ideias sobre o que procurar.
• Agradecimentos a Craig Young por muitas discussões durante o desenvolvimento deste script.
• Agradecimentos a Sebastian Pipping por alguma ajuda com programação Python durante o desenvolvimento.
• Agradecimentos a Benjamin Balder Bach por me ensinar muitas coisas sobre empacotamento Python.
• Agradecimentos aos organizadores do Bornhack, Driving IT, SEC-T e da trilha Rights and Freedom no 34C3 por me permitirem apresentar este trabalho.

autor

snallygaster é desenvolvido e mantido por Hanno Böck.