Salam hər vaxtınız xeyir dəyərli oxucular, bu gün Veb tətbiqlərin test edilməsi üzrə əlimizdə olan vasitələri daha da dərinləşdirmək məqsədi ilə proqram təminatını tanıyacayıq. Bu paylaşımda isə nikto alətinin köməyi ilə veb zəifliklərin qiymətləndirilməsini həyata keçirəcəyik.

Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official

Zəifliklərin Qiymətləndirilməsi

Birbaşa olarq veb serverdə zəifliyin tapılması üçün, zəiflik tapan skaneri işə salmalıyıq.Bunun üçün əlavə olaraq OpenVAS alətindən istifadə edə bilərik.İndiki paylaşımda isə biz OpenVAS alətindən daha sürətli olana və daha çox veb əsaslı zəifliklərin axtarılmasından istifadə olunan Nikto alətindən istifadə edəcəyik.\

┌──(root㉿kali)-[~]
└─# nikto -h http://192.168.10.38/mutillade/  
- Nikto v2.5.0
---------------------------------------------------------------------------
+ Target IP:          192.168.10.38
+ Target Hostname:    192.168.10.38
+ Target Port:        80
+ Start Time:         2025-04-30 18:43:21 (GMT4)
---------------------------------------------------------------------------
+ Server: Apache/2.2.14 (Ubuntu) mod_mono/2.4.3 PHP/5.3.2-1ubuntu4.30 with Suhosin-Patch proxy_html/3.0.1 mod_python/3.3.1 Python/2.6.5 mod_ssl/2.2.14 OpenSSL/0.9.8k Phusion_Passenger/4.0.38 mod_perl/2.0.4 Perl/v5.10.1
+ /mutillade/: The anti-clickjacking X-Frame-Options header is not present. See: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
+ /mutillade/: The X-Content-Type-Options header is not set. This could allow the user agent to render the content of the site in a different fashion to the MIME type. See: https://www.netsparker.com/web-vulnerability-scanner/vulnerabilities/missing-content-type-header/
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ proxy_html/3.0.1 appears to be outdated (current is at least 3.1.2).
+ mod_mono/2.4.3 appears to be outdated (current is at least 3.12).
+ mod_ssl/2.2.14 appears to be outdated (current is at least 2.9.6) (may depend on server version).
+ PHP/5.3.2-1ubuntu4.30 appears to be outdated (current is at least 8.1.5), PHP 7.4.28 for the 7.4 branch.
+ mod_python/3.3.1 appears to be outdated (current is at least 3.5.0).
+ Python/2.6.5 appears to be outdated (current is at least 3.9.6).
+ OpenSSL/0.9.8k appears to be outdated (current is at least 3.0.7). OpenSSL 1.1.1s is current for the 1.x branch and will be supported until Nov 11 2023.
+ mod_perl/2.0.4 appears to be outdated (current is at least 2.0.11).
+ Perl/v5.10.1 appears to be outdated (current is at least v5.32.1).
+ Apache/2.2.14 appears to be outdated (current is at least Apache/2.4.54). Apache 2.2.34 is the EOL for the 2.x branch.
+ Phusion_Passenger/4.0.38 appears to be outdated (current is at least 6.0.7).
+ OPTIONS: Allowed HTTP Methods: GET, HEAD, POST, OPTIONS, TRACE .
+ /: HTTP TRACE method is active which suggests the host is vulnerable to XST. See: https://owasp.org/www-community/attacks/Cross_Site_Tracing
+ mod_ssl/2.2.14 OpenSSL/0.9.8k Phusion_Passenger/4.0.38 mod_perl/2.0.4 Perl/v5.10.1 - mod_ssl 2.8.7 and lower are vulnerable to a remote buffer overflow which may allow a remote shell.
+ PHP/5.3 - PHP 3/4/5 and 7.0 are End of Life products without support.
+ 8101 requests: 0 error(s) and 17 item(s) reported on remote host
+ End Time:           2025-04-30 18:43:46 (GMT4) (25 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested

Nikto — açıq mənbəli və çox geniş istifadə olunan veb server zəiflik skaneridir. Bu alət veb serverlərdəki məlum təhlükəsizlik boşluqlarını, səhv konfiqurasiyaları və potensial təhlükəli faylları aşkar etmək üçün istifadə olunur.

🛠️ Əsas imkanları:

Plugin sistemi ilə genişlənə bilir

6700+ məlum təhlükəli fayl və direktoriyanı yoxlayır

Apache, Nginx, IIS və digər serverlər üçün xüsusi zəiflik testləri

SSL sertifikat yoxlamaları

HTTP başlıqlarındakı zəifliklər

CGI skanları və timeout testləri

📌 Qeyd: Nikto passiv yoxlama aparmır. Test zamanı veb serverə çoxlu sayda sorğu göndərdiyindən loglarda görünəcək. Ona görə icazəsiz sistemlərdə istifadə etmək qanunsuzdur.

🧠 CTF yarışlarında, penetration testlərdə və zəiflik yoxlamalarında Nikto faydalı bir alətdir.

Ümidvaram faydalı olmuşdur.Təşəkkürlər!

Bizi izləyin:

Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat