WebStor

Identificação Rápida de Tecnologias Web Vulneráveis na sua Organização

WebStor é uma ferramenta implementada em Python sob a licença MIT para enumerar rapidamente todos os sites em todas as redes da sua organização, armazenar suas respostas e consultar tecnologias e versões web conhecidas, como aquelas com vulnerabilidades de dia zero. Destina-se, em particular, a resolver o problema único apresentado em organizações de médio a grande porte com administração descentralizada, onde pode ser quase impossível rastrear todas as tecnologias web implantadas por vários administradores distribuídos em diferentes unidades e redes.

WebStor alcança seu objetivo realizando as seguintes ações:

1. Realiza transferências de zona DNS para coletar os registros A e CNAME de uma organização.
2. Usa o Masscan para escanear portas HTTP/HTTPS abertas nas faixas de rede de uma organização, bem como quaisquer endereços IP fora dessas faixas que estavam presentes nos registros A e CNAME da organização.
3. Usa a biblioteca Python requests para coletar todas as respostas e armazená-las em um banco de dados MariaDB. Todos os nomes DNS correspondentes a um IP com portas HTTP/HTTPS abertas serão incluídos nas requisições, além do endereço IP, para que sites que usam cabeçalhos diferentes não sejam perdidos.
4. Baixa o banco de dados de tecnologias web do Wappalyzer e armazena no banco de dados MariaDB, permitindo que os usuários consultem a(s) localização(ões) de uma tecnologia web comum pelo nome.
5. Permite que os usuários consultem a(s) localização(ões) onde expressões regulares personalizadas estão contidas nas respostas armazenadas.

Plataformas suportadas

WebStor atualmente será executado em sistemas Linux. Como é escrito em Python, a conversão para suportar Windows seria trivial e provavelmente acontecerá no futuro.

Pré-requisitos

Aplicações

• Masscan
  • Se você for usar um cron job para atualizar o banco de dados (típico), é fundamental que configure sudo nopasswd para qualquer usuário que execute a varredura Masscan via WebStor.
• MariaDB 10.0.5 ou posterior
  • As credenciais padrão testadas pelo WebStor serão root e senha em branco. Consulte a seção "Opções seguras" para configurar o WebStor para usar outros nomes de usuário e senhas para conectar ao banco de dados.

Bibliotecas Python

• pip3 install dnspython
• pip3 install beautifulsoup4
• pip3 install mysql-connector-python
• pip3 install js-regex
• pip3 install gevent
• pip3 install requests

Disponibilidade via PyPI

• Se você está apenas procurando executar o WebStor e não editá-lo, pode instalar os aplicativos pré-requisitos e então usar 'sudo pip3 install webstor'.
• Após instalar o WebStor via PyPI, o webstor estará no caminho e pode ser executado na linha de comando independentemente do diretório de trabalho com 'webstor' em vez de 'webstor.py', por exemplo, 'webstor -g'.

Uso básico

       webstor.py [-h] [--ADD-HTTP-PORT HTTPPORTTOADD] [--CLEAR-HTTP]
                  [--ADD-HTTPS-PORT HTTPSPORTTOADD] [--CLEAR-HTTPS]
                  [--ADD-CUSTOM-FINGERPRINT FINGERPRINT]
                  [--DELETE-CUSTOM-FINGERPRINT FINGERPRINTNAMETODELETE]
                  [--IMPORT-CUSTOM-FINGERPRINT IMPORTFINGERPRINTFILE]
                  [--CLEAR-CUSTOM-FINGERPRINTS] [--SHOW-CONFIG]
                  [--SHOW-CONFIG-FULL] [--RUN-MASSCAN]
                  [--SET-MASSCAN-RANGES SETSCANRANGES]
                  [--ADD-RANGE RANGETOADD] [--DELETE-RANGE RANGETODELETE]
                  [--IMPORT-MASSCAN-RANGES IMPORTSCANRANGES]
                  [--ADD-PATH PATHTOADD] [--DELETE-PATH PATHTODELETE]
                  [--CLEAR-PATHS] [--REFRESH-RESPONSES]
                  [--RESPONSES-ADD-FOR-PATH RESPONSESADDFORPATH]
                  [--SEARCH-PATTERN SEARCHPATTERN]
                  [--SEARCH-CUSTOM-FINGERPRINT SEARCHFINGERPRINT]
                  [--SEARCH-WAPPALYZER SEARCHWAPPALYZER] [--NO-TSIG-KEY]
                  [--TSIG-KEY-IMPORT IMPORTTSIGFILE]
                  [--TSIG-KEY-REPLACE REPLACEMENTTSIGFILE]
                  [--DELETE-TSIG TSIGTODELETE]
                  [--USE-TSIG-FILE-ONLY USETSIGFILEONLY]
                  [--DOWNLOAD-NEW-WAPPALYZER] [--LIST-WAPPALYZER-TECH-NAMES]
                  [--ZONE-XFER] [--ADD-DOMAIN DOMAINDETAILS]
                  [--DELETE-DOMAIN DOMAINTODELETE]
                  [--IMPORT-ZONE-FILE IMPORTZONEFILE] [--CLEAR-DOMAINS]
                  [--LIST-DOMAINS] [--LIST-OUTSIDE] [--SQL-CREDS SQLCREDSFILE]