Во овој пост ќе зборувам за самиот наслов…Се работи за конструкција наречена w3af или “Web Application Attack and Audit Framework”, креирана од страна на Андрес Рианчо (Andres Riancho) кој е сигурносен истражувач и основач на компанијата Bonsai Information Security (http://www.bonsai-sec.com).

Се работи за алатка со чија помош полесно пронаоѓаме или експлоатираме некоја ранливост во веб апликациите. Може да дојде како добра опрема за оние што се занимаваат со пен-тестирање па и пошироко ;).

Алатката е креирана во Python и е достапна за Windows и Linux корисниците. Тука ќе зборувам за Linux верзијата, поточно за инсталација и работа врз Fedora 10 (Cambridge).

Ја преземаме алатката од официјалната веб страна: http://w3af.sourceforge.net/#download [18.2 MB]

Откако ја имаме Linux верзијата (w3af_1.0-rc1.tar.bz2), одиме со отпакување и инсталација на неколку модули.

[root@zeroscience lqwrm]# tar -xjf w3af_1.0-rc1.tar.bz2

[root@zeroscience lqwrm]# cd w3af

За да продолжиме понатаму, треба да инсталираме неколку модули што ќе ни бидат потребни за работа со w3af конструкцијата.

Потребни модули:

— Python 2.5
– fpconst-0.7.2
– pygoogle
– nltk
– SOAPpy
– pyPdf
– Beautiful Soup
– Python OpenSSL
– json.py
– scapy
– python sqlite3
– graphviz
– pygtk 2.0
– gtk 2.12

Бидејќи во самиот ОС веќе е вграден Python + некои од споменатите додатоци, направив вака:

[root@zeroscience w3af]# yum -y install pyparsing
[root@zeroscience w3af]# yum -y install pydot
[root@zeroscience w3af]# yum -y install pyOpenSSL
[root@zeroscience w3af]# yum -y install SOAPpy
[root@zeroscience w3af]# yum -y install pyPdf

Потоа:

[root@zeroscience w3af]# cd extlib;cd fpconst­0.7.2;python setup.py install;cd ..;cd pygoogle;python setup.py install;cd ..;cd nltk;python setup.py install;cd ..;cd SOAPpy;python setup.py install;cd ..;cd pyPdf;python setup.py install;cd ..;cd ..

[root@zeroscience w3af]#

И тоа би било тоа. Сега ги имам сите потребни фајлови за стартување на алатката. w3af може да се стартува во 2 модови. GUI и во конзола. Првин ќе го стартуваме GUI модот.

[root@zeroscience w3af]# python w3af_gui
Starting w3af, running on:
Python version:
2.5.2 (r252:60911, Sep 30 2008, 15:41:38)
[GCC 4.3.2 20080917 (Red Hat 4.3.2-4)]
GTK version: 2.14.7
PyGTK version: 2.13.0

w3af - Web Application Attack and Audit Framework
Version: 1.0-rc1 (from SVN server)
Revision: 0
Author: Andres Riancho and the w3af team.

Од дадените опции или методи, можеме да го избереме саканиот профил зависно од потребите на скенирањето како и начинот на принтање на резултатите. Го избрав IT.com.mk како тест мета, за почеток :P

Потоа подесуваме неколку опции и започнуваме со скенирање…

Додека стартување во конзола би изгледало вака:

[root@zeroscience w3af]# python w3af_console
w3af>>> help
|-----------------------------------------------------------------------------|
| start
| Start the scan.
|
| plugins
| Enable and configure plugins.
|
| exploit
| Exploit the vulnerability.
|
| profiles
| List and use scan profiles.
|
|-----------------------------------------------------------------------------|
| http-settings | Configure the HTTP settings of the framework.
|
| misc-settings | Configure w3af misc settings.
|
| target
| Configure the target URL.
|
|-----------------------------------------------------------------------------|
| back
| Go to the previous menu.
|
| exit
| Exit w3af.
|
| assert
| Check assertion.
|
|-----------------------------------------------------------------------------|
| help
| Display help. Issuing: help [command] , prints more
|
|
| specific help about "command"
|
| version
| Show w3af version information.
|
| keys
| Display key shortcuts.
|
|-----------------------------------------------------------------------------|
w3af>>>

w3af>>> target
w3af/config:target>>> set target http://it.com.mk
w3af/config:target>>> back
w3af>>> plugins
w3af/plugins>>> audit xss
w3af/plugins>>> back
w3af>>> start
Found 3 URLs and 3 different points of injection.
The list of URLs is:
- http://it.com.mk
- http://it.com.mk/forum/login.php?do=login
- http://it.com.mk/index.php
The list of fuzzable requests is:
- http://it.com.mk | Method: GET
- http://it.com.mk/forum/login.php?do=login | Method: POST | Parameters: (redirect, do, vb_login_password, vb_login_md5password_utf, vb_login_md5password, forceredirect, s, cookieuser, vb_login_username)
- http://it.com.mk/index.php | Method: GET | Parameters: (Itemid, option, searchword)
Starting xss plugin execution.
Finished scanning process.
w3af>>> version
w3af - Web Application Attack and Audit Framework
Version: 1.0-rc1 (from SVN server)
Revision: 0
Author: Andres Riancho and the w3af team.
w3af>>>

Авторот има додадено и неколку додатни алатки кои можат да ни помогнат во понатамошно истражување како и нивно поврзување со конструкцијата кои се наоѓаат во папката tools/.

За повеќе информации околу оваа алатка и нејзино користење можете да погледнете во папката readme/ како и да ги погледнете демо видеата на официјалната страна: http://w3af.sourceforge.net/videos/video-demos.php