Header Ads

Nikto Nedir ? Nasıl Kullanılır ?


Merhaba CyberGuilty Okurları;

Yeni makale konumuz olan web application scanners konu başlığı altında bugün anlatacağım yazılım nikto.
  • Nikto
Nikto gelişmiş bir web zafiyet tarayıcısıdır.Konsol tabanlıdır, kullanımı basittir ve bazı farklı tarama teknikleri bulunmaktadır. Nikto ayrıca derinlemesine tarayarak fazlasıyla zafiyet taraması yapmaktadır.
Konsola "nikto" yazarak parametreleri görüntüleyebilirsiniz. Nikto'da diğerleri gibi içerisindeki plugin'ler aracılığı ile tarama yapmaktadır. Tarama süresi biraz uzundur lakin oldukça temiz bir tarama yapmaktadır. Bazı durumlarda her yazılım gibi stabil sorunu çıkartabiliyor. Bunun nedenleri Web application Firewall olmaktadır. Nikto birçok Wep Application Firewall  sistemi tarafından tanınabilir ve engellenebilir. Bu yüzden her sisteme tarama yapamayabilirsiniz. Lakin burada devreye bazı atlatma teknikleri devreye giriyor. Nikto bunu bazı parametreler ile aşabilmektedir. Güzel yanlarından biri de budur.
  • Bazı Önemli Parametreler
  1. -root+: Bu parametre ile istediğiniz bir root dizinini taratabilirsiniz. Kullanım:"nikto -h www.site.com -r/dizin"
  2.  -port+: Bu parametre ile istediğiniz bir port üzerinden taramanızı gerçekleştirebilirsiniz. Kullanımı : "nikto -h www.site.com -p [PORT]
  3. -ssl: Bu parametre ile "SSL" desteği olup olmadığını kontrol ettirebilir ve "SSL" saldırılarını etkinleştirebilirsiniz.
  4. -CgiDirs+: Cgi klasörlerini tarar.Parametrede "C" büyük yazılmalıdır. Kullanım : "nikto -h www.site.com -C all" 
  5. evasion+: Bu parametre sayesinde bazı evasion (atlatma) tekniklerini kullanabilirsiniz. WAF sistemler için kullanılmaktadır.
  6. -Tuning+: Bu parametre ile istediğiniz zafiyet türünü belirtebilirsiniz. Buda taramanın kısa ve öz olmasını sağlar. Yani sizin belirlediğiniz zaafiyetleri tarayıp diğer plugin'leri pasif hale getirir. Sizler bu parametreyi sistemin yapısına göre değiştirebilirsiniz.
  7. -generic+: Bu parametre ile full tarama işlemini gerçekleştirebilirsiniz. Bu yöntem önerilmemektedir. Nedeni ise log tutmasıdır. Kullanım:"nikto -h www.site.com -g"
  8. -id+: Bu parametre sistemde "Authentication" etkin ise kullanıcı adı ve parolayı belirterek taramayı gerçekleştirebilirsiniz. Kullanım: "nikto -h www.site.com -i user:pass"
Örnek taramayı "nikto -h www.site.com -T 9 -e 135" şeklinde gerçekleştirdik. Burada sadece SQL Injection taraması ve bazı atlatma tekniklerini kullanmasını istedik.

Bu şekilde nikto ile taramalarınızı basitçe ve özelleştirilmiş bir biçimde tarayabilirsiniz.  

Official Twitter Accounts 


CyberGuilty INC. Blogger tarafından desteklenmektedir.