工具推薦：Dradis，Kali滲透測試報(bào)告生成器
滲透測試報(bào)告是任何安全評估活動中的關(guān)鍵可交付成果。滲透測試中，最終可交付成果是一份報(bào)告，展示了所提供的服務(wù)，使用的方法，發(fā)現(xiàn)的結(jié)果和建議。
許多滲透測試人員發(fā)現(xiàn)報(bào)告的制作是一個(gè)無聊的過程，因?yàn)樗枰罅康臅r(shí)間和精力。在本文中，我們將討論使用Kali Linux工具來簡化制作報(bào)告的任務(wù)。這些工具可用于存儲結(jié)果，做報(bào)告時(shí)的快速參考，與你的團(tuán)隊(duì)分享你的數(shù)據(jù)等。我們將學(xué)習(xí)如何使用這些工具上傳BurpSuite、nmap、Nikto、OWASP Zap等的掃描結(jié)果。
這篇文章我們將介紹如下工具：
Dradis
Magic Tree
Metagoofil
讓我們看看每個(gè)工具的詳情。
Dradis
Dradis框架是一個(gè)開源的協(xié)作和報(bào)告平臺。它是由Ruby開發(fā)的一個(gè)獨(dú)立的平臺。在接下來的幾個(gè)步驟中,我們將學(xué)習(xí)如何使用Dradis。
啟動Kali Linux，”Application”->” Reporting Tools”->”Dradis”。
Dradis是一個(gè)獨(dú)立的web應(yīng)用程序。因此,它會自動在瀏覽器中打開https://127.0.0.1:3004
避免證書錯(cuò)誤，然后點(diǎn)擊“I Understand the Risks”按鈕來添加一個(gè)例外Dradis。出現(xiàn)證書錯(cuò)誤是因?yàn)镈radis使用的是自簽名證書。
因?yàn)槭堑谝淮卧L問，所以提供的是向?qū)ы撁?/p>
下一步是創(chuàng)建一個(gè)服務(wù)器密碼來訪問應(yīng)用程序。點(diǎn)擊“Back to the app”鏈接訪問密碼設(shè)置頁面。輸入密碼，然后單擊“Initialize”按鈕。
輸入我們之前設(shè)置的密碼
我們成功進(jìn)入了Dradis框架。
現(xiàn)在我們可以開始使用Dradis通過創(chuàng)建一個(gè)新的分支。點(diǎn)擊“add branch”按鈕，并將它命名為“Security Test”。
現(xiàn)在，在新創(chuàng)建的分支單擊鼠標(biāo)右鍵，然后單擊“add child”選項(xiàng)在新創(chuàng)建的分支下添加支行。有兩個(gè)選擇，首先是創(chuàng)建新的子分支，第二個(gè)是添加主機(jī)。
為了方便我們創(chuàng)造了一個(gè)樹形分支。“Security Test”劃分為三個(gè)支線，“端口掃描”，“應(yīng)用程序掃描”和“Nessus的漏洞掃描”。每個(gè)子分支由不同的工具進(jìn)一步劃分。
我們可以在每個(gè)分行或支行下添加主機(jī)。例如，我們的Nmap文件夾下添加的IP 10.48.14.12。我們的目標(biāo)在這里放置Nmap對10.48.14.12的掃描結(jié)果。
點(diǎn)擊“import file from…”按鈕，從下拉框中選擇“NmapUpload”，瀏覽并選擇要上傳的文件。
點(diǎn)擊“Open”按鈕，Dradis將開始驗(yàn)證和解析該文件。
解析成功后，結(jié)果將會被上傳?，F(xiàn)在可以看到主機(jī)開放的端口。
我們可以通過“add note”按鈕來添加任意端口。
同樣，我們添加一個(gè)任何端口或服務(wù)的屏幕截圖。轉(zhuǎn)到“Attachment”選項(xiàng)卡，點(diǎn)擊“Add”按鈕，選擇要上傳的文件。
點(diǎn)擊“upload”將文件上傳到dradis
雙擊上傳后的圖片，會在新的標(biāo)簽頁中打開。
類似的，我們可以上傳Nessus, Burp, Nikto, Owasp ZAP等的掃描結(jié)果。
要上傳burp的掃描結(jié)果到Dradis，點(diǎn)擊“import file from…”按鈕，從下拉框中選擇“BurpUpload”，瀏覽并選擇要上傳的文件。
點(diǎn)擊”Open”按鈕，dradis會自動驗(yàn)證和解析文件。
解析完畢之后上傳。我們可以在“Burp Scanner results“看到burp的掃描結(jié)果。
我們可以移動整個(gè)文件夾到“Application Scan”文件夾下的“burp”子文件夾。
用同樣的方法上傳Nessus掃描的結(jié)果。
Drais可以根據(jù)上傳的結(jié)果導(dǎo)出報(bào)告。不幸的是doc或pdf格式只在pro版才可導(dǎo)出，社區(qū)版只允許導(dǎo)出Html格式。
要了解更多關(guān)于專業(yè)版的特性，可以訪問：http://securityroots.com/Dradispro/editions.html
下面將會演示如何導(dǎo)出Html報(bào)告。
1、選擇要在報(bào)告中包含的問題。右鍵單擊“Category”中選擇“Assign to…”，然后單擊“HTML Export ready”選項(xiàng)。這顯示在下面的截圖。
這個(gè)問題的類別變更為“HTML Export ready”，如下面的屏幕截圖。
2、一旦你已經(jīng)囊括了所有你要在報(bào)告中包含的問題，請單擊“export”按鈕，選擇“HTML export”選項(xiàng)。新的標(biāo)簽將會打開HTML報(bào)告。
下面這個(gè)列表顯示了dradis支持的工具和可接受的格式。
Magic Tree
Magic Tree類似于Dradis數(shù)據(jù)管理和報(bào)告工具。它被設(shè)計(jì)成方便和直接的數(shù)據(jù)整合，查詢，外部命令的執(zhí)行和報(bào)告生成。這個(gè)工具是預(yù)裝在Kali Linux中位的“Reporting Tools”的范疇。它遵循樹節(jié)點(diǎn)結(jié)構(gòu)來管理主機(jī)和相關(guān)數(shù)據(jù)。在接下來的幾個(gè)步驟中，我們將學(xué)習(xí)如何使用magic tree。
啟動Kali Linux的工具。點(diǎn)擊“Applications”，轉(zhuǎn)到“Reporting Tools”，然后點(diǎn)擊“Magic tree”。
File->Open，選擇要上傳的文件
Magic Tree將映射所有的數(shù)據(jù)到樹節(jié)點(diǎn)結(jié)構(gòu)。
擴(kuò)展單個(gè)節(jié)點(diǎn)，我們可以進(jìn)一步看到數(shù)據(jù)。
Magic tree允許查詢已經(jīng)收集的數(shù)據(jù)，執(zhí)行給定的shell命令。
有不同的方法用來查詢數(shù)據(jù)。
Q*:選擇與當(dāng)前所選節(jié)點(diǎn)相同類型的所有節(jié)點(diǎn)的查詢。例如，如果我們選擇的操作系統(tǒng)，然后點(diǎn)擊“Q *”按鈕，它會列出類型為“OS”的所有節(jié)點(diǎn)。從下面的截圖中，我們可以看到所有與OS細(xì)節(jié)有關(guān)的節(jié)點(diǎn)。
可以選擇要查詢的字段(在“Tab View”選項(xiàng)卡中突出顯示為紅色)。我們可以按我們的要求修改查詢。
同樣，如果我們選擇的“OS”，然后點(diǎn)擊“Q1”按鈕，它會列出所有類型為“OS”和文本內(nèi)容為“MicroSoft Windows 7”的節(jié)點(diǎn)。從下面的截圖中，我們可以看到所有有著相同操作系統(tǒng)的主機(jī)。
我們可以通過這種方式提取所需要的數(shù)據(jù)。
Magic tree一個(gè)更為獨(dú)特的特征是能夠從用戶界面上運(yùn)行Nmap。右鍵單擊“test data”結(jié)點(diǎn)，點(diǎn)擊“create child”，然后點(diǎn)擊“simple node”選項(xiàng)。
進(jìn)入Host詳情，然后按回車。
現(xiàn)在點(diǎn)擊“Q1”查詢按鈕，在“Command”字段中輸入下列Nmap的命令，然后點(diǎn)擊“Run”按鈕。
nmap掃描現(xiàn)在已經(jīng)開始。我們可以在屏幕的左下方看到一個(gè)新創(chuàng)建的任務(wù)，而上突出顯示部分顯示任務(wù)的狀態(tài)。
我們可以進(jìn)入控制臺，并通過單擊“Console”按鈕，檢查掃描狀態(tài)。
一旦掃描完成后，我們可以在“task”節(jié)點(diǎn)看到日志和XML輸出。
將結(jié)果合并到當(dāng)前的樹中，單擊“xmlData”，然后單擊“merge XML data”按鈕。
掃描的結(jié)果被添加到主機(jī)“65.61.137.117”，如下面的屏幕截圖。
Magic tree有能夠生成Word格式報(bào)告的選項(xiàng)。要生成報(bào)告，選擇一個(gè)節(jié)點(diǎn)，定位到“report”，然后點(diǎn)擊“generate report …”選項(xiàng)。
選擇報(bào)告導(dǎo)出的位置。
導(dǎo)出的報(bào)告如下。
Magic Tree vs. Dradis
這兩個(gè)工具被開發(fā)用來解決類似的一系列合并數(shù)據(jù)的問題，和生成報(bào)告。Magic Tree和Dradis還可引入不同的滲透測試工具產(chǎn)生的數(shù)據(jù)，手動添加數(shù)據(jù)和生成報(bào)告。兩個(gè)工具按照樹結(jié)構(gòu)來存儲數(shù)據(jù)。
這兩個(gè)工具之間的詳細(xì)區(qū)別下面給出。
Metagoofil
Metagoofil是一種信息收集工具，用于提取屬于目標(biāo)公司公開的文件(PDF，DOC，XLS，PPT，DOCX，PPTX，XLSX)的元數(shù)據(jù)。這是Kali Linux框架下的報(bào)表工具的一部分。它可以通過掃描獲得的文件給予很多重要的信息。它可以根據(jù)提取元數(shù)據(jù)的生成HTML報(bào)告，再加上潛在的用戶名列表對暴力破解開放的服務(wù)，如FTP、Web應(yīng)用程序、VPN、POP3等非常有用。這些類型的信息對滲透測試人員在安全評估的信息收集階段時(shí)很有幫助。
按如下步驟使用mategoofil：
1、使用谷歌搜索引擎搜索目標(biāo)網(wǎng)站指定的文件類型。
2、下載所有找到的文件。
3、提取下載的文件的元數(shù)據(jù)。
4、保存結(jié)果為HTML文件。
在這里，我們將學(xué)習(xí)如何使用Metagoofil并生成滲透測試報(bào)告。
第1步：啟動Kali Linux虛擬機(jī)。默認(rèn)metagoofil不存在于Kali Linux。輸入以下命令在Kali Linux上安裝metagoofil。
```Apt-get install metagoofil```
第2步：安裝完成后運(yùn)行以下命令來查看metagoofil可用的選項(xiàng)。
```metagoofil```
第3步：使用如下命令運(yùn)行metagoofil
`metagoofil -d target.com -t pdf,doc,ppt -l 200 -n 5 -o /root/Desktop/metagoofil/ -f /root/Desktop/metagoofil/result.html`
讓我們來了解命令的詳細(xì)信息：
-d 指定目標(biāo)域。
-t 來指定要metagoofil找到并下載文件類型。
-l 限制結(jié)果的搜索。缺省情況下，它被設(shè)置為200。
-n 指定要下載的文件的數(shù)量。
-o 指定一個(gè)目錄來保存下載文件。
-f 輸出文件的名稱和位置。
第4步：實(shí)戰(zhàn)，我們使用metagoofil掃描：www.owasp.org
```metagoofil -d owasp.org -t pdf,doc,ppt -l 200 -n 5 -o /root/Desktop/metagoofil/ -f /root/Desktop/metagoofil/result.html```
如下圖所示，metagoofil開始尋找給定類型的文件。該工具總共發(fā)現(xiàn)115擴(kuò)展名為.pdf的文件。由于要下載的文件數(shù)量設(shè)置為5，metagoofil對于每個(gè)擴(kuò)展名只下載五個(gè)文件。
第5步：進(jìn)入“/root/Desktop/metagoofil”目錄，找到下載的文件。
第6步：打開result.html文件。此文件包含從指定網(wǎng)站提取的數(shù)據(jù)。
這包括以下數(shù)據(jù)：
用戶名
軟件版本開發(fā)的文件
電子郵件
服務(wù)器和路徑
文件分析
該result.html文件可以使用像w3m的一個(gè)命令行工具打開。 w3m的是Linux終端的Web瀏覽器。默認(rèn)情況下，它不存在于Kali Linux操作系統(tǒng)。要安裝w3m的使用下面的命令：
Apt-get install w3m
安裝完成后，運(yùn)行以下命令，使用w3m打開HTML報(bào)告：
w3m /root/Desktp/metagoofil/result.html
從上面的結(jié)果，我們得到了很多敏感信息比如可以嘗試暴力破解用戶名的密碼，找到對應(yīng)版本軟件的可利用漏洞，路徑信息可以用來猜測被目標(biāo)所使用的操作系統(tǒng)類型。
結(jié)論
雖然magic tree和Dradis很相似，他們有自己的優(yōu)點(diǎn)和缺點(diǎn)?；趥€(gè)人的要求選擇工具。這兩種工具可以合并使用方便項(xiàng)目的管理。在另一方面，Metagoofil是一個(gè)非常強(qiáng)大的工具，提取從公開的文件元數(shù)據(jù)并生成一個(gè)包含用戶名列表，文件路徑，軟件版本，電子郵件ID等重要信息的報(bào)告，可以在滲透測試的不同階段使用。
引用
http://www.gremwell.com/what_is_magictree
http://www.gremwell.com/magictree_vs_dradis
