Acunetix ile Güvenlik Analizi
Acunetix Web Vulnerability Scanner, sitenizi güvende tutmak amacı ile kullanabileceğiniz yegâne araçlardan ikincisi. Günümüzde çoğunlukla Pentester, yani sisteme sızmak için yollar arayan insanlar tarafından kullanılan bu araç; sadece bu güruhun değil; web sitesi olan insanların da işine yarıyor. Zira, zafiyeti bulmak ile kalmayan bu aracın işlevleri arasında zafiyet hakkında detaylı bilgi vermek; sisteme nasıl sızıldığını örneklemek ve hedef sistem üzerinde zafiyetin nasıl çalıştığını görmek gibi etmenler de mevcut. Sektörde, HSBC, ING, American Express, Sony gibi devlere de hizmet sağlayan Acunetix’in arkasındaki güç elbette yılların verdiği tecrübe ile geliyor. Aracın, ücretli olduğu aşikâr ve her daldan tarifeleri mevcut. Örneğin, elli adet hedef taraması yapacaksanız o paketi, on hedef taraması yapacaksanız, onluk paketi seçebilirsiniz. Bunun yanında sürekli lisans paketleri de mevcut ve 3000$’dan başlıyor. Yaptığınız işin ne olduğuna bağlı olarak taleplerinize karşılık veren bu büyük kuruluşun aracını, adresinden temin etmeniz mümkün. Son olarak, üç Türkiye dağıtıcısı da bulunmakta.
Gelelim, aracın neler yaptığına. Kodladığınız bir web sitesinin taramasını yapmak isterseniz; bunu kaç farklı yöntemle; nasıl yapıyor; görelim.
Araç, başlı başına dokuz çalışma betiğinden oluşmakta. Birkaçını açıklamamız gerekir ise;
Site Crawler, web sitenizin referans aldığı bütün link haritasını ortaya koyarken aynı zamanda site hakkında belli bilgiler toplamanızı da sağlıyor. Kullanılan script, script üzerinde yapılan işlemler; gibi. Target Finder, yani hedef bulucu betiği, ip üzerindeki tüm web sitelerini listeleyebilmenize olanak veriyor. Subdomain Scanner, domain üzerindeki subdomainlerinizi listeleyebilmenize olanak veriyor. Blind SQL Injector, SQL Injection zafiyeti olan bir sitede, exploitini otomatik olarak oluşturuyor ve kullanılan veritabanındaki bilgileri dışa vuruyor. Http Editor, yapılan tarama sonrasında web sitesinin zafiyete verdiği cevapları kodlar dahilinde analiz etmenize yardımcı oluyor. Bunlar ve bunlar gibi birçok özelliği içerisinde barındıran aracın ana özelliği elbette “Web Vulnerability Scanner” yani, zafiyet tarama betiği. Yukarıdaki görselde, sol üstte gördüğünüz betik. Hedef sistemin dosya boyutuna göre taramayı uzatan ya da kısaltmaya giden Acunetix, Hosting tarafında herhangi bir ip engellemeye karşı da önlemini alıp farklı proxyler üzerinden işlemlerini gerçekleştiriyor ve böylece Hosting tarafından banlanması uzak bir ihtimal olarak görülüyor. Opsiyonel olarak seçim yapabileceğiniz tarama türünde SQL, XSS, CSRF gibi spesifik zafiyet taramaları da yapabiliyorsunuz. Acunetix ile yapabileceğiniz şeyleri, burada uzun uzadıya anlatmaya gerek yok zira yapabileceğiniz şeylerin neredeyse sınırı yok. En azından yeni başlayanlar için programın son raddesi; çok uç bir sınırda. Zira sadece kendi altyapısı değil, Google Hacking Database ile de işbirliğine giden bu sistemi durdurmak oldukça güç.
Şimdi gelelim, hedef taramasına. Acunetix ile oluşturduğunuz web sitesine yahut hedef siteye dair, SQL Injection, Blind SQL Injection, Cross Site Scripting, CRLF Injection, CSRF, Code Execution gibi birçok web zaafı türünü kolayca bulabilmeniz mümkün. Bunların, yukarıda belirttiğimiz üzere tekil ya da çoğul taraması da keza, öyle.
Programı açtığınızda zaten sihirbaz, sizin için direkt hedef site taraması betiğini açıyor ancak manuel işlemler ile açıklamamız gerekir ise; programda sağ yukarıda gördüğünüz, şimdi ise yukarıda gördüğünüz bölüme; yani “Start URL” kısmına hedef sitemizi yazdıktan sonra; yeşil ok butonlu Start butonuna basarak taramayı başlatmamız mümkün. Profile kısmında, spesifik bir zafiyet türü de belirleyebiliriz ancak genel bir tarama istiyor isek default kalması daha uygun. Tarama başladığında bilgisayarınızın donanımına göre ufak kasmalar ya da internet hızınıza göre internet üzerinde yavaşlamalar söz konusu olabilir ancak, endişelenmeyin. Site üzerinde ilk adım olarak klasör taraması yapan program, sonrasında klasör içerisindeki her türlü dosyayı listeler ve ardından tarama başlar. Tarama kısmında sağ altta bir progress (süreç) barı görebilmeniz mümkündür.
Yukarıdaki görselde tamamlanmış bir taramanın sunduğu sonuçları görmekteyiz. Yeşil, mavi ve turuncu renkteki ünlemler zafiyetin seviyesini belirtir. Yeşil, üçüncü seviye, çok önemli olmayan zafiyetlerdir. Mavi, bilgilendirme amaçlı yazılmış, hiç önemli olmayan zafiyetlerdir ve bunların fazla üzerinde durmaya lüzum yoktur. Zafiyet sonucu çıkan turuncu renkteki ünlem, ikinci seviyedir ve açığın tehlike yaratabileceğini belirtir. Görüldüğü üzere, üzerinde durulan bölümde bir CSRF açığına rastlandığını belirten programın sağ tarafında hangi klasör ve dosyalarda bu zafiyetin barındığı, zafiyetin detaylıca bir açıklaması ve elbette çözümüne yer verilmiştir. Sağ sekmenin daha da aşağısında, görselin yetmediği kısımlarda, zafiyeti örneklemeye yarayacak birkaç kod ve bu zafiyeti program üzerinden çalıştırdığımızda sitede ne tepki alacağımıza yönelik bir kutucuk da mevcut. Bu zafiyete server tarafından verilen cevap için Http Editor kullanmanız da yukarıda belirttiğimiz gibi, mümkün. Birinci seviye zafiyetler ise kırmızı ünlemler ile belirir ancak bu taramada herhangi bir birinci seviyede zafiyete yaklaşılamamıştır. Birinci seviye zafiyetler genellikle SQL, XSS gibi direkt veritabanını ya da sistemi alaşağı edecek zafiyetlerden oluşur ve taramayı yapan isim en çok bu seviyenin üzerinde kafa yormalıdır.
Sitenizi her güncellediğinizde ya da hazır bir içerik yönetim sistemine eklenti ile yamalar uyguladığınızda bu programı kullanarak tekrar tekrar tarama yapmanız, eklentinin ya da yamanın ne denli güvenli olduğunu gözler önüne serer ve sizi emin ellerde tutar. Keza, sitenizi de öyle. Zira, eklentiler her zaman uzman kodlayıcılar tarafından kodlanmaz. Özellikle Wordpress İçerik Yönetim Sistemi’nde bu böyledir ve eklenti yüklerken dikkatli olunması gerekir.