pyfiscan

О программе

Pyfiscan — это бесплатный сканер уязвимостей и версий веб-приложений, который может использоваться для обнаружения устаревших версий распространенных веб-приложений на Linux-серверах. Пример использования — хостинг-провайдеры, следящие за установками своих пользователей, чтобы своевременно устанавливать обновления безопасности. Отпечатки легко создавать и изменять: пользователь может писать их в синтаксисе YAML. Pyfiscan также содержит инструмент для создания email-уведомлений с использованием шаблонов.

Требования

• Python 3
• Модули Python: PyYAML, docopt, chardet
• Веб-сервер на GNU/Linux

Тестирование в основном проводится на GNU/Linux Debian stable. Windows в настоящее время не поддерживается.

Обнаруживает следующее ПО

• Abantecart
• ATutor
• b2evolution
• BigTree CMS
• Bugzilla
• Centreon
• Claroline
• ClipperCMS
• CMSimple
• CMSimple_XH
• CMSMS
• Collabtive
• Concrete5
• Coppermine
• Cotonti
• Croogo
• CubeCart
• Dolibarr
• Dotclear
• Drupal
• e107
• Elefant CMS
• EspoCRM
• Etherpad
• flatCore CMS
• FluxBB
• Foswiki
• FUEL CMS
• Gallery
• Gollum
• HelpDEZk
• HumHub
• ImpressCMS
• ImpressPages
• Jamroom
• Joomla
• Kanboard
• KCFinder
• LiteCart
• Magnolia
• Mahara
• MantisBT
• MediaWiki
• Microweber
• MiniBB
• MODX Revolution
• MoinMoin
• MyBB
• Nibbleblog
• Open Source Social Network
• OpenCart (рекомендуется не использовать это ПО)
• osDate
• ownCloud
• Oxwall
• PBBoard
• phpBB3
• PhpGedView
• phpLiteAdmin
• phpMyAdmin
• Piwigo
• Piwik
• PmWiki
• Postfix Admin
• Redaxo
• Redmine
• Roundcube
• SaurusCMS
• Serendipity
• Shaarli
• Shopware
• SMF
• Spina CMS
• SPIP
• SQLiteManager
• SquirrelMail
• TestLink
• TikiWiki
• Trac
• Vanilla Forums
• WikkaWiki
• WordPress
• Zenario
• Zenphoto
• Zikula

Обнаруживает следующее ПО, достигшее конца жизненного цикла:

• Bugzilla 4.2 — конец жизненного цикла с 2015-11-30
• Drupal 6 — конец жизненного цикла с 2016-02-24
• Drupal 9.0 — конец жизненного цикла
• Gallery 1
• Joomla 1.5 — конец жизненного цикла с 2012-04-30
• Joomla 1.6 — конец жизненного цикла с 2011-08-19. Версии 1.6.x следует обновить до 1.6.6 перед переходом на 1.7.x
• Joomla 1.7 — конец жизненного цикла с 2012-02-24
• Joomla 2.5
• MediaWiki 1.18
• MediaWiki 1.19 — конец жизненного цикла с 2015-04-25
• MediaWiki 1.20
• MediaWiki 1.21 — конец жизненного цикла с 2014-06-25
• MediaWiki 1.22
• MediaWiki 1.23 — конец жизненного цикла с 2017-05-31
• MediaWiki 1.24
• MediaWiki 1.25
• MediaWiki 1.26 — конец жизненного цикла с 2016-11-20
• MediaWiki 1.27 — конец жизненного цикла с 2019-06-06
• MediaWiki 1.28 — конец жизненного цикла с 2017-11-01
• MediaWiki 1.29 — конец жизненного цикла с 2018-06
• MediaWiki 1.30 — конец жизненного цикла с 2019-06-06
• MediaWiki 1.31 — конец жизненного цикла с 2021-09-30
• MediaWiki 1.32 — конец жизненного цикла с 2020-01-23
• MediaWiki 1.33 — конец жизненного цикла с 2020-06-24
• MediaWiki 1.34 — конец жизненного цикла с 2020-11-30
• MediaWiki 1.36 — конец жизненного цикла с 2022-06-03
• MediaWiki 1.37 — конец жизненного цикла с 2022-11-30
• SaurusCMS
• ownCloud 4
• ownCloud 5
• ownCloud 6
• ownCloud 7
• ownCloud 8.0
• ownCloud 8.1
• ownCloud 8.2

Установка

sudo apt install python3 python3-pip git virtualenv
git clone https://github.com/fgeek/pyfiscan.git && cd pyfiscan
virtualenv -p python3 venv
source ./venv/bin/activate
pip3 install -r requirements.lst

или вы можете использовать BlackArch Linux.

Примечания

• WordPress
  • Анонс безопасной ветки SWFUpload
• Joomla
  • Обновление следует выполнять через "Менеджер расширений -> Обновление" в версии 1.6.6 и более поздних
  • Цикл выпуска и поддержки
  • Контрольный список безопасности для установки
  • Обновление и миграция Joomla
  • Joomla 2.x создаёт случайный префикс таблиц SQL
  • Joomla 3.x информирует пользователя и показывает кнопку для удаления каталога установки
  • Создаёт ./configuration.php в процессе установки
  • Создаёт robots.txt, содержащий слово "Joomla"
• SMF
  • Конец жизненного цикла SMF 1.0
  • Установщик запрашивает у пользователя нажатие кнопки для удаления install.php
• TikiWiki
  • Конец жизненного цикла TikiWiki 7.x
  • 8.4 — последний выпуск TikiWiki 8.x
  • Конец жизненного цикла TikiWiki 8.x
• MediaWiki
  • Конец жизненного цикла версии 1.18.x
• Gallery
  • Не установлен, если отсутствует config.php.
  • http://codex.galleryproject.org/Gallery2:Security
  • Обновление через: http://example.org/gallery3/index.php/upgrade php index.php upgrade
• phpBB (версия неизвестна)
  • Открытая установка не является уязвимостью, так как веб-интерфейс запрашивает аутентификацию пользователя путём вставки случайных данных в файл.
• Coppermine
  • Не установлен, если отсутствует include/config.inc.php.
• ownCloud
  • status.php выводит: {"installed":"true","version":"5.0.6","versionstring":"5.0.5","edition":""}
• Piwigo
  • Не установлен, если отсутствует local/config/database.inc.php.
• Claroline
  • Не установлен, если отсутствует platform/conf/claro_main.conf.php.
  • Страницы установки запрашивают у пользователя удаление каталога claroline/install/.

Довольные пользователи

• DevNet Oy
• Kapsi Internet-käyttäjät ry
• Shellit.org
• Loopia.se

Участники

• aapa
• Ari-Martti Hopiavuori
• Atte H. "guaqua"
• Janne Cederberg
• Joonas Kuorilehto
• Juhamatti Niemelä
• Linus Fogelholk
• motikan2010
• Olli Pekkola
• Paul Grant
• Tuomo Komulainen