渗透测试平台Vulnreport介绍与使用
渗透测试平台Vulnreport介绍与使用
在这篇文章中,我们将跟大家讨论一些关于渗透测试方面的内容,并给大家介绍一款名叫Vulnreport的新型开源工具,而这款工具将能够让任何场景下的渗透测试任务变得更加简单。
Vulnreport是什么?
Vulnreport是一款渗透测试管理与自动化平台,它可以帮助我们完成很多枯燥乏味的安全渗透测试任务。虽然它无法代替渗透测试人员的位置,但是它可以增强测试人员的能力,使他们的工作更有效率。简而言之,它可以帮我们把所有的“脏活累活”全部做完,而研究人员就可以将精力全部放在“难啃的骨头”上了。
Vulnreport下载地址
如需本工具的完整文档,请点击【这里】。
工具安装与部署
Heroku自动化部署
你可以使用Heroku完成工具的自动化部署,然后按照下列指令登陆Vulnreport并完成配置。【Heroku传送门】
手动部署
按照下列代码将工具部署到Heroku:
gitclone [Vulnreport repo url]
herokugit:remote -a [Heroku app name]
herokuaddons:create heroku-postgresql:hobby-dev
herokuaddons:create heroku-redis:hobby-dev
herokuaddons:create rollbar:free
herokuaddons:create sendgrid:starter
接下来,打开.env文件并将键值对拷贝到Heroku设置中,这一步你也可以通过命令行接口来完成。
herokuconfig:set VR_SESSION_SECRET=abc123456
herokuconfig:set RACK_ENV=production
gitpush heroku master
安装操作
为了完成Vulnreport的初始化配置,你需要运行SEED.rb脚本。如果你将工具部署在了Heroku上,你可以直接使用下列命令来完成配置:
herokurun ./SEED.rb
如果你使用了Heroku的自动化部署功能,那么这一步就已经自动完成了。
Running./SEED.rb on ⬢ vulnreport-test... up,run.8035
Vulnreport3.0.0.alpha seed script
WARNING:This script should be run ONCE immediately after deploying and then DELETED
Settingup Vulnreport now...
Settingup the PostgreSQL database...
Done
Seedingthe database...
Done
UserID 1 created for you
ALLDONE!
Loginto Vulnreport now and go through the rest of the settings!
配置成功之后,你就可以删除SEED.rb文件了。
管理员账户默认的用户名为admin,密码也是admin。接下来,你就可以进入Vulnreport(上述例子中的URL为https://my-vr-test.herokuapp.com)并使用默认账户进行登录了。登录之后,你就可以进入Vulnreport的设置界面中创建并配置你的Vulnreport实例了。关于如何使用你新创建的Vulnreport实例,请查看官方给出的【操作文档】。
XML输出与导入
目前,Vulnreport支持XML格式的输入以及输出,如果你需要在不同的环境下使用Vulnreport来进行渗透测试的话,这种功能将会非常有用。Vulnreport目前所支持的XML格式如下:
<?xmlversion="1.0" encoding="UTF-8"?>
<Testxmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<Vuln>
<Type>[Vulntype ID]</Type>
<File>[File Vuln Data]</File>
<Code>
[Code Vuln Data]
</Code>
<File>clsSyncLog.cls</File>
<Code>
hello world
</Code>
...etc...
</Vuln>
<Vuln>
<Type>6</Type>
<File>clsSyncLog.cls</File>
<File>CommonFunction.cls</File>
<Code>
12 Public Class CommonFunction{
</Code>
</Vuln>
</Test>
<?xmlversion="1.0" encoding="UTF-8"?>
<Testxmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"">
<Vuln>
<Type>REQUIRED - EXACTLY 1 - INTEGER- ID of VulnType. 0 = Custom</Type>
<CustomTypeName>OPTIONAL - EXACTLY 1- STRING if TYPE == 0</CustomTypeName>
<BurpData>OPTIONAL - UNLIMITED -STRING - Burp req/resp data encoded in our protocol</BurpData>
<URL>OPTIONAL - UNLIMITED - STRING -URL for finding</URL>
<FileName>OPTIONAL - UNLIMITED -STRING - Name/path of file for finding</FileName>
<Output>OPTIONAL - UNLIMITED - STRING- Output details</Output>
<Code>OPTIONAL - UNLIMITED - STRING -Code details</Code>
<Notes>OPTIONAL - UNLIMITED - STRING- Notes for vuln</Notes>
<Screenshot>
OPTIONAL - UNLIMITED - Screenshots ofvuln
<Filename>REQUIRED - EXACTLY 1 -STRING - Filename with extension</Filename>
<ImageData>
REQUIRED - EXACTLY 1 - BASE64 -Screenshot data
</ImageData>
</Screenshot>
</Vuln>
....unlimited vulns....
<Vuln>
</Vuln>
</Test>
Vulnreport的使用
Vulnreport的工作流程其实跟渗透测试人员的测试步骤是差不多的。当你在进行一次渗透测试时,无论你遇到的是什么漏洞(例如存储型XSS),你可以直接从列表中选择它,然后输入相关数据:
测试完成之后,Vulnreport会给我们生成一份非常nice的报告:
除此之外,Vulnreport还实现了非常简单的外部接口,而这些接口可以帮助我们执行各种类型的外部活动,例如发送报告邮件和记录漏洞状态等等。
总结
测试本身就很难,而渗透测试就更加麻烦了,虽然自动化的渗透测试工具无法完全代替测试人员,但是我们可以尽可能地让那些枯燥乏味的重复性操作以自动化的方式去实现。希望这款工具可以给大家带来帮助。
渗透测试平台Vulnreport介绍与使用的更多相关文章
- Nexus设备渗透测试平台 – Kali Linux NetHunter
NetHunter是一个基于Kali Linux为Nexus设备构建的Android渗透测试平台,其中包括一些特殊和独特的功能.NetHunter支持无线802.11注入,一键MANA AP搭建,HI ...
- 渗透测试工具SPARTA介绍
0x01 sparta安装 kali系统默认安装了sparta 需要基础环境: git clone https://github.com/secforce/sparta.git apt-get ins ...
- 渗透测试平台bwapp简单介绍及安装
先来介绍一下bwapp bwapp是一款非常好用的漏洞演示平台,包含有100多个漏洞 SQL, HTML, iFrame, SSI, OS Command, XML, XPath, LDAP, PHP ...
- 【渗透测试学习平台】 web for pentester -1.介绍与安装
web for pentester是国外安全研究者开发的的一款渗透测试平台,通过该平台你可以了解到常见的Web漏洞检测技术. 官网:https://www.pentesterlab.com 下载地址: ...
- Metasploit渗透测试魔鬼训练营
首本中文原创Metasploit渗透测试著作,国内信息安全领域布道者和资深Metasploit渗透测试专家领衔撰写,极具权威性.以实践为导向,既详细讲解了Metasploit渗透测试的技术.流程.方法 ...
- 【HTB系列】靶机Access的渗透测试详解
出品|MS08067实验室(www.ms08067.com) 本文作者:大方子(Ms08067实验室核心成员) Hack The Box是一个CTF挑战靶机平台,在线渗透测试平台.它能帮助你提升渗透测 ...
- Kali linux渗透测试的艺术 思维导图
Kali Linux是一个全面的渗透测试平台,其自带的高级工具可以用来识别.检测和利用目标网络中未被发现的漏洞.借助于Kali Linux,你可以根据已定义的业务目标和预定的测试计划,应用合适的测试方 ...
- web安全之渗透测试
本次渗透测试使用工具列表如下: 漏洞扫描器 (主机/Web) 绿盟RAS漏洞扫描器 商用 端口扫描器 NMAP 开源 网络抓包 Fiddler 开源 暴力破解工具 Hydra 开源 数据库注入工具 S ...
- Samuraiwtf-的确是很好的渗透学习平台
有人问我要渗透测试平台学习,我想到了Samurai ,记得里面带有很多的,这里来推广一下. Samurai Web 测试框架很多人说是live CD测试环境,但是现在似乎不是了,至少目前最新版的只有这 ...
随机推荐
- Spring-Kafka —— 消费后不提交offset情况的分析总结
最近在使用kafka,过程中遇到了一些疑问,在查阅了一些资料和相关blog之后,关于手动提交offset的问题,做一下总结和记录. 消费端手动提交offset代码如下: /** * 这是手动提交的消费 ...
- Java内部类(1):概述
> 将一个类的定义放在另一个类的定义内部,这就是内部类. > 使用内部类最吸引人的原因是:每个内部类都能独立地继承一个(接口的)实现,所以无论外围类是否已经继承了某个(接口的)实现,对于内 ...
- docker 启动镜像报 WARNING: IPv4 forwarding is disabled. Networking will not work.
centos7 解决办法: # vi /etc/sysctl.conf 添加如下代码: net.ipv4.ip_forward=1 重启network服务 # systemctl restar ...
- Kafka如何实现每秒上百万的高并发写入
Kafka是高吞吐低延迟的高并发.高性能的消息中间件,在大数据领域有极为广泛的运用.配置良好的Kafka集群甚至可以做到每秒几十万.上百万的超高并发写入. 那么Kafka到底是如何做到这么高的吞吐量和 ...
- 第一章 Scala基础篇
目录 一.Scala基础语法 (一) 变量.类型.操作符 1.变量申明 2.字符串 3.数据类型 4.操作符 (二)循环判断 1.块表达式 2.条件表达式 3.循环表达式 (三)方法和函数 1.方法 ...
- 基于 CentOS 7 搭建 Git服务器
Git 是一款免费.开源的分布式版本控制系统,用于敏捷高效地处理任何或小或大的项目. ⒈安装依赖库和编译工具 1.安装依赖库 yum install -y curl-devel expat-devel ...
- win7安装mongodb3.6
1. 下载 https://www.mongodb.com/download-center/enterprise 选择合适平台点击下载 2. 安装mongodb 在win7系统安装mongodb需要v ...
- 关于python中的包,模块导入的问题详解(二)
from import导入 紧接着的是from xx import xx 语法 1 ################ 2 from my_moudule import name 3 print(na ...
- Linux目录结构解释
Linux的常用命令 cp: 用于文件复制的命令. cp file_1 file_2 copy_position -v: 复制的详细过程. -r: 复制目录. mv: 文件移动或文件重命名. mv f ...
- UI语言杂集
最适合做 GUI 的是 DSL 或者 XML(以及 XML 的扩展)之类的标记语言,而不是编程语言. 例如 Qt 的 QML,Android 的 XML 或者 WPF 的 XAML 以及大家都再熟悉不 ...