OWASP SAPKiln

Мир SAP 🌎 очень обширен и уникален. У SAP есть множество продуктов для решения различных задач, а также множество технологических платформ, таких как NetWeaver и другие. SAPKiln — это инструмент с открытым исходным кодом и графическим интерфейсом 💻, предназначенный для предоставления исследователям безопасности возможности эффективного аудита и тестирования на проникновение SAP-систем через SAP Logon/GUI (настольное приложение). Он подходит как опытным SAP-специалистам, так и тем, кто не знаком с окружением SAP, поскольку упрощает процесс выполнения проверок безопасности благодаря удобному интерфейсу ✨.

Работая 🔋 на базе saplogon.exe и SAP scripting в своём бэкенде, SAPKiln выполняет автоматизированные проверки в SAP-системе. Текущая версия (v1.0) может похвастаться обширным набором из более чем 70+ проверок ❗, разделённых на 10 модулей. Помимо встроенных проверок, SAPKiln обеспечивает гибкость с помощью динамических проверок, учитывающих пользовательские входные данные. Автоматизируя оценку безопасности, SAPKiln эффективно сокращает разрыв в знаниях для исследователей безопасности 👮 по сравнению с экспертами в области SAP 👓.

Включенные модули 🌀

• Попытка входа с учётными данными SAP по умолчанию
• Перечисление доступных T-Codes
• Перечисление доступных таблиц
• Перечисление использования профиля SAP_ALL
• Перечисление политик паролей
• Перечисление слабых хешей паролей (пользователи)
• Перечисление слабых хешей паролей (хеши)
• Выполнение OS-команд - RSBDCOS0
• Выполнение OS-команд - SAPXPG
• Перечисление экземпляров для горизонтального перемещения

Установка 🛠️

git clone https://github.com/alexdevassy/SAPkiln.git
cd SAPKiln
pip install -r requirements.txt

*SAPKiln v1.0 поддерживается только в windows из-за зависимости от библиотеки pywin32. Он протестирован на windows 10 с python 3.10.11.

Предварительные требования 🚧

Перед запуском SAPKiln убедитесь, что выполнено следующее предварительное условие.

• SAP scripting включен в серверной SAP-системе
  • Чтобы включить SAP scripting, выполните T-Code "RZ11", найдите "sapgui/user_scripting" и измените его значение с "False" на "True".

Необязательные предварительные требования

• В SAP GUI сняты флажки с параметров SAP scripting
  • В SAP GUI перейдите в "Options", затем в параметрах перейдите в "Accessibility & Scripting" -> "Scripting". И снимите следующие флажки
    • "Notify when a script attaches to SAP GUI"
    • "Notify when a script opens a connection"

Использование 👾

python .\SAPKiln.py

https://github.com/OWASP/OWASP-SAPKiln/assets/31893005/7a28e87c-3b40-4ea0-88cd-510088d5f392