O-Saft - OWASP SSL 高级取证工具

下载 版本 24.09.24

快速开始

  o-saft.pl --help
  o-saft.pl +check  your.tld
  o-saft.pl +info   your.tld
  o-saft.pl +quick  your.tld
  o-saft.pl +cipher your.tld
  o-saft.pl --help=commands

  o-saft.tcl      # （简单 GUI；需要 Tcl/Tk 8.5 或更高版本）

  o-saft-docker   # （调用 docker 镜像中 o-saft.pl 的简单包装器）

  o-saft          # （调用 o-saft.pl 或 o-saft.tcl 或 o-saft-docker 的简单包装器）

描述

此工具列出远程目标的 SSL 证书信息，并根据给定的密码列表测试远程目标。

独特功能

• 可在封闭环境中运行，即无需互联网连接
• 独立于已安装的库检查密码的可用性
• 检查所有可能的密码（每个 SSL 协议最多 65535 个）
• 仅需 perl 且无需模块即可检查密码和协议
• 在所有平台上主要结果相同

为什么？

2012 年已经存在数十种甚至更多优秀的 SSL 检测工具，为什么还要开发新工具？部分原因（并非全部）如下：

• 缺乏对非常见密码的测试
• 对同一目标的同一检查返回不同的结果
• 缺少针对现代 SSL/TLS 的功能（检查）
• 缺乏对非常见（SSL、证书）配置的测试
• （主要）缺少添加自定义测试的可行性

更多详情请使用：

  o-saft.pl --help

或阅读源代码 ;-)

目标受众

• 渗透测试人员
• 管理员

安装

o-saft.pl 需要以下 Perl 模块：

它可以在解压或克隆的目录中直接运行，无需安装。但会提供一个 INSTALL.sh 脚本，可按如下方式调用：

自有模块均安装在 ./lib 中。

  INSTALL.sh /path/to/install
  INSTALL.sh --check

更多安装详情请参阅：

  INSTALL.sh --help

checkAllCiphers.pl 不依赖其他 Perl 模块，因此可以用于测试所有密码。

以下文件/工具是可选的：

源码

• 项目主页：https://www.owasp.org/index.php/O-Saft
• 项目仓库：https://github.com/OWASP/O-Saft
• 历史项目主页：https://www.owasp.org/index.php/Projects/O-Saft

获取副本（最新稳定版）

  wget https://github.com/OWASP/O-Saft/raw/master/o-saft.tgz

获取副本（开发版本）

  git clone https://github.com/OWASP/O-Saft.git
  git clone [email protected]:OWASP/O-Saft.git

获取 Docker 镜像（最新稳定版）

  docker pull owasp/o-saft

版本

24.09.24

压缩包 o-saft.tgz 的版本即为本文顶部所列版本。仓库中的其他文件可能比此压缩包版本更新。

o-saft.tgz 的 SHA256 校验和

158e33ea4c1f27ac87da3555f811d01bbccdf1756f064d68c144f58aad02eb0e

Docker 镜像 owasp/o-saft:latest 和 owasp/o-saft:24.09.24 的 SHA256 校验和

sha256:20b7ce94aa01861b4b3ebd4944c39ee243fee7550e4303e45658703ff5d038b9

注意：如果此文件来自 o-saft.tgz 本身或 Docker 镜像内部，此处列出的校验和为前一版本的校验和。

变更

详细的变更列表可在 CHANGES 中找到。 每次新版本（发布）都会更新。

旧版本

如需使用旧版本，请从 GitHub 的 releases 获取对应的 o-saft.tgz，参见： https://github.com/OWASP/O-Saft/releases（截至 2024 年 9 月）。