Vega: attaccare le web application
In questa lezione vedremo Vega, uno strumento per verificare l’esistenza di vulnerabilità in applicativi web, già preinstallato nelle versioni più recenti di Kali Linux. È bene sottolineare che esistono altri framework con caratteristiche analoghe, e già coperti in altre guide su HTML.it. Tra questi menzioniamo la suite Burp e nikto.
La scelta di Vega è dovuta al fatto che si tratta di uno strumento open source relativamente nuovo, pensato per la verifica della sicurezza delle applicazioni web. La documentazione ufficiale, molto esaustiva, è disponibile sul sito ufficiale. Inoltre, il codice sorgente del progetto è reperibile su GitHub.
Funzionalità offerte
Vega è munito di una comoda interfaccia grafica scritta in Java, e compatibile con i sistemi operativi Windows, OSX e Linux. Offre inoltre la possibilità di implementare i propri moduli di attacco in Javascript. Le funzionalità offerte dall’installazione base si suddividono in due categorie, dipendenti dalla modalità operativa di Vega. Le funzionalità offerte in modalità scanner sono le seguenti:
- Crawling dei siti web
- Estrazione automatica dei link
- Riconoscimento automatico moduli di login
- Cross site scripting (XSS)
- SQL injection
- Fuzzing dei parametri di
GETePOST - Capacità di analizzare l’output dell’applicativo web con ricerche di tipo “grep”
Oltre alle predette funzioni, quando Vega viene eseguito in modalità intercepting proxy, diventa uno strumento capace di analizzare le interazioni tra il browser e l’applicazione web. In particolare Vega istanzia un proxy server sulla nostra macchina che ispeziona le interazioni tra browser e applicativo web. La funzionalità veramente interessante è la capacità di Vega di intercettare particolari richieste/rise e inserire dei breakpoint che diano modo al penetration tester di effettuare con accuratezza l’analisi dei messaggi scambiati tra client e server, ed eventualmente modificarli per effettuarne il replay.