脆弱性チェックツールWapiti on Ubuntu
| ( ! ) Deprecated: preg_replace(): The /e modifier is deprecated, use preg_replace_callback instead in /home/users/1/movion/web/www_movion_net/htdocs/wp-includes/formatting.php on line 74 | ||||
|---|---|---|---|---|
| Call Stack | ||||
| # | Time | Memory | Function | Location |
| 1 | 0.0001 | 220360 | {main}( ) | .../index.php:0 |
| 2 | 0.0002 | 228496 | require( '/home/users/1/movion/web/www_movion_net/htdocs/wp-blog-header.php' ) | .../index.php:4 |
| 3 | 0.0603 | 7367032 | require_once( '/home/users/1/movion/web/www_movion_net/htdocs/wp-includes/template-loader.php' ) | .../wp-blog-header.php:22 |
| 4 | 0.0605 | 7380224 | include( '/home/users/1/movion/web/www_movion_net/htdocs/wp-content/themes/movion-net/index.php' ) | .../template-loader.php:56 |
| 5 | 0.0821 | 7622112 | the_content( ) | .../index.php:22 |
| 6 | 0.0821 | 7624384 | apply_filters( ) | .../post-template.php:55 |
| 7 | 0.0835 | 7632656 | call_user_func_array:{/home/users/1/movion/web/www_movion_net/htdocs/wp-includes/plugin.php:57} ( ) | .../plugin.php:57 |
| 8 | 0.0835 | 7632888 | wpautop( ) | .../plugin.php:57 |
| 9 | 0.0839 | 7637128 | preg_replace ( ) | .../formatting.php:74 |
wapiti（ワピチ＝オオジカ？）
コマンドラインから実行する、Webアプリケーション脆弱性スキャナ、セキュリティ監査ツールです。
実行は基本ローカルに対して行いましょう。
入力フォームがあると当然勝手にいろいろ入力しまくってくれますので、
テスト環境、テスト設定、テストデータで行いましょう。
チェックしてくれるのは
・XSS
・CSRF
・コマンド実行検出
・SQLインジェクション
…etc
らしいです。
ものによっては環境やオプションを設定しないと検出されない気がしますが・・・。
ま、お試しチェックってことで。
-
sudo -s
-
apt-get install wapiti
Ubuntuでapt使ったらそれだけです。
で、インストールすると、
/usr/bin/wapiti
※Wapiti-1.1.6
というpythonのファイルが出来てるので試しに実行。
デフォルトでは実行ログ（チェックしているURL）が出ないので、
vオプションで途中結果を表示した方がなんか安心です。
-
wapiti http://127.0.0.1/ -v 2
あとはgetcookie.pyでクッキーファイルを作ってログインが必要なページチェックも出来ます。
-
/usr/lib/python2.5/site-packages/getcookie.py cookie.txt http://127.0.0.1/login/
-
wapiti http://127.0.0.1/ -v 2 -c cookie.txt
以上