Lab 5.2: Hướng dẫn sử dụng CGI Scanning with Nikto
Nikto là một máy quét web mã nguồn mở (GPL) thực hiện các kiểm tra toàn diện đối với các máy chủ web cho nhiều mục, bao gồm hơn 6700 tệp / chương trình có nguy cơ nguy hiểm, kiểm tra các phiên bản lỗi thời của hơn 1200 máy chủ và các vấn đề cụ thể của phiên bản trên hơn 270 máy chủ. Nó cũng kiểm tra các mục cấu hình máy chủ như sự hiện diện của nhiều file chỉ mục, các tùy chọn máy chủ HTTP, và sẽ cố gắng xác định các máy chủ web và phần mềm được cài đặt. Các mục quét và các trình cắm được cập nhật thường xuyên và có thể được cập nhật tự động. Nikto không được thiết kế như một công cụ tàng hình. Nó sẽ kiểm tra một máy chủ web trong thời gian nhanh nhất có thể, và rõ ràng trong các tập tin nhật kí hoặc IPS / IDS.
Các tính năng chính của Nikto bao gồm:
- Phát hiện các tệp cài đặt mặc định trên bất kỳ hệ điều hành nào
- Phát hiện các ứng dụng phần mềm lỗi thời.
- Chạy kiểm tra lỗ hổng XSS
- Khởi chạy các cuộc tấn công vũ phu dựa trên từ điển
- Xuất kết quả thành tệp văn bản thuần túy, CSV hoặc HTML
- Hệ thống phát hiện xâm nhập trốn tránh với LibWhisker
- Tích hợp với Metasploit Framework
1. Tải về và cài đặt Nikto ở đây: DOWNLOAD
Nikto là công cụ có sẵn trên Kali Linux, trong lab này sẽ sử dụng Kali Linux.
2. Đăng nhập vào máy Kali Linux với username/password là root/toor.
3. Click vào biểu tượng Terminal trên Desktop.
4. Để xem các tùy chọn nikto, hãy nhập nikto -h và nhấn Enter trong cửa sổ dòng lệnh. Điều này sẽ hiển thị tất cả các tùy chọn và công dụng của chúng
5. Nhập nikto -H và nhấn Enter. Ở đây -H là công tắc để tìm các lệnh trợ giúp có sẵn trong Nikto. Chúng ta sẽ sử dụng tùy chọn Tuning để quét toàn diện và sâu hơn về máy chủ web mục tiêu.
6. Trong cửa sổ terminal, gõ nikto -h http://www.goodshopping.com -Tuning 1 và nhấn Enter. Đầu ra của lệnh này sẽ cung cấp cho bạn địa chỉ IP của Site, Hostname, Port trong phần đầu tiên. Trong phần tiếp theo, nó sẽ cung cấp cho bạn kiến trúc hoàn chỉnh của trang web như trong ảnh chụp màn hình.
Trong bài lab này, bạn đã học cách sử dụng nikto để quét máy chủ web.
Last edited by a moderator:
