Pentesting mit Legion, sqlmap, ZAP, OpenSCAP, Karkinos und Scapy 6 Open Source-Tools für Penetrationstests

Um in der Infrastruktur nach Schwachstellen zu suchen, gibt es eine Vielzahl an Open Source-Tools. Wir zeigen in diesem Beitrag 6 bekannte Tools für verschiedene Pentesting-Zwecke. Diese helfen dabei verschiedene Schwachstellen zu identifizieren und schnell zu schließen.

Finden Tools wie Legion, Zed Attack Proxy, OpenSCA, Karkinos oder Scapy Lücken in der Infrastruktur oder in IoT-Umgebungen, macht es Sinn diese sehr schnell zu schließen. Denn Angreifer finden diese Lücken ebenfalls und können diese für Cyberattacken nutzen. Das ist einer der maßgeblichen Gründe für den Einsatz solcher Tests. Generell ist der Einsatz von Penetrationstests ein wichtiger Faktor bei der IT-Sicherheitsstrategie. Schlussendlich lassen sich damit proaktiv Angriffe verhindern und bereits aktive Angriffe identifizieren.

Bildergalerie

Bildergalerie mit 5 Bildern

Wichtige Tools in diesem Bereich sind natürlich auch Nmap und Wireshark. Wir haben diese bereits in verschiedenen Beiträgen behandelt, zum Beispiel in „Wie man Netzwerke mit Port-Monitoring schützen kann“ und „Open-Source- und Freeware-Tools zur Netzwerk-Analyse“. Wireshark behandeln wir parallel im Beitrag „Netzwerke mit tcpdump, ngrep und WireShark sniffen“ und im Beitrag „Netzwerk-Monitoring und -Analyse in der Praxis“.

Legion und Sparta - Automatisiertes Pentesting

Legion ist ein aktueller Fork von Secforce Sparta. Sparta ist in Python entwickelt und ebenfalls für das Pentesting einsetzbar. Das etwas ältere Tool lässt sich auch über die Sicherheitsdistribution Kali nutzen. Legion arbeitet in diesem Zusammenhang als aktuelleres Fork auch mit Tools wie Nmap zusammen. Eine weitere Stärke von Legion ist der modulare Aufbau. Dieser ermöglicht es eigene Skripte in das Tool zu integrieren. Damit ist das Pentesting mit Legion flexibel einsetzbar. Darüber hinaus unterstützt Legion die automatische Erkennung von CPEs (Common Platform Enumeration) und CVEs (Common Vulnerabilities and Exposures). Generell lässt sich Legion auch mit Docker nutzen.

Legion ist dafür bekannt, seine Prozesse automatisch zu optimieren und zu planen, um eine hocheffiziente Netzwerkanalyse zu ermöglichen. Das Tool führt in diesem Zusammenhang automatisch Scans und Analysen durch, einschließlich Host-Erkennung, Port-Scans, Betriebssystem-Erkennung und Diensterkennung. Basierend auf den Ergebnissen der ersten Analysen plant Legion automatisch weitere, tiefere Tests. Dazu verwendet Legion einen intelligenten Scheduler, der Tests priorisiert, basierend auf den gesammelten Daten. Legion arbeitet mit anderen Pentesting-Tools wie Nmap, Nikto, Hydra und anderen zusammen.

sqlmap - Datenbanken für Webanwendungen testen

Das Pentesttool sqlmap ermöglicht das Testen von Datenbanken, die öffentlich zugänglich sind. Das Tool lässt sich in Windows und Linux nutzen, Basis ist Python. Vor allem für Webanwendungen und deren Datenbanken kann sqlmap eine wertvolle Hilfe sein. Im Fokus des Tools steht dabei das Aufspüren von Schwachstellen aus dem Bereich SQL-Injection. Mit sqlmap kann die Suche nach solchen Schwachstellen automatisiert werden. Der Quellcode steht auf GitHub zur Verfügung.

Interessant ist das Tool vor allem auch daher, weil es zahlreiche Datenbanksysteme unterstützt und bei einer großen Menge an Datenbanken die Tests auch automatisieren kann. Zu den unterstützten Systemen gehören zum Beispiel MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase, SAP MaxDB, Informix, MariaDB, MemSQL, TiDB, CockroachDB, HSQLDB, H2, MonetDB, Apache Derby, Amazon Redshift, Vertica, Mckoi, Presto, Altibase, MimerSQL, CrateDB, Greenplum, Drizzle, Apache Ignite, Cubrid, InterSystems Cache, IRIS, eXtremeDB, FrontBase, Raima Database Manager, YugabyteDB, ClickHouse und Virtuoso.

Im Fokus der Tests stehen vor allem boolesche Blindabfragen, zeitbasierte Blindabfragen, fehlerbasierte Abfragen, UNION-Abfragen, gestapelte Abfragen und Out-of-Band-Abfragen. Nach dem Download des Archivs erfolgt der Start mit "sqlmap.py". Dazu muss Python auf dem System verfügbar sein. Die Shell von sqlmap startet mit "sqlmap --shell". Um in Windows eine Hilfe anzuzeigen, kommt der Befehl "sqlmap -h" zum Einsatz, unter Linux "sqlmap --hh"

Zed Attack Proxy - Kostenloses Sicherheitstool für Webanwendungen

Zed Attack Proxy (ZAP) gehört zu den wichtigsten Lösungen im Bereich Pentesting. Vor allem für das Testen von Webanwendungen ist die Lösung seit Jahren ein etabliertes System, das eine Vielzahl von verschiedenen Angriffen testen kann und dadurch schnell Sicherheitslücken erkennt. Wir haben uns mit ZAP bereits im Beitrag „Sicherheit für Webanwendungen mit Zed Attack Proxy“ beschäftigt. Mit ZAP lassen sich auch Man-in-the-Middle-Attacken durchführen. Die Installation ist auf Windows, macOS und Linux möglich. ZAP lässt sich aber auch als Docker-Container nutzen. Für die Verwaltung steht eine grafische Oberfläche zur Verfügung. ZAP benötigt die aktuelle JRE/JDK in 64-Bit für seinen Betrieb. Ohne Java lässt sich ZAP nicht installieren.

Tool-Tipp: OWASP Zed Attack Proxy (ZAP)

Sicherheit für Web­an­wen­dungen mit Zed Attack Proxy

OpenSCAP - Security Content Automation Protocol - Toolsammlung für das Pentesting

OpenScap stellt eine Sammlung verschiedener Tools für das Pentesting dar. Im Fokus steht dabei das Security Content Automation Protocol. Dabei handelt es sich um einen Standard des US-amerikanischen National Institute of Standards and Technology (NIST). Dabei geht es um das regelmäßige bis dauerhafte Überwachen des Netzwerks und der installierten Anwendungen auf Schwachstellen. Dadurch haben Unternehmen die Sicherheit der Umgebung ständig im Blick.

Karkinos - Leichtgewichtiges Pentesttool

Karkinos ist ein kleines Tool für verschiedene Sicherheitstests und verschiedenen Modulen. Auch hier ist die Flexibilität wichtig, sodass sich sich mit Karkinos unterschiedliche Sicherheitstests durchführen lassen. Mit dem Tool ist es zum Beispiel möglich Kennwörter zu knacken. Das Tool lässt sich in Windows und Linux nutzen. Auch Karkinos setzt auf Python. Auf der Webseite des Projektes sind die Befehle für Windows und Linux zu finden, um Karkinos zu installieren.

Scapy - Datenpakete und Protokolle fälschen

Scapy ist ein weiteres Pentesttool, das auf Python basiert. Mit dem Tool und der dazugehörigen Bibliothek lassen sich Datenpakete manipulieren und komplette Protokolle fälschen. Dadurch lassen sich lokale Anwendungen, aber auch Webanwendungen und Cloudapps darauf hin überprüfen, ob sie anfällig für solche Pakete sind.

Simulation von Hacker-Angriffen

Pentests ja, aber bitte richtig!

Tool umgeht EDR- und AV-Erkennung

Wenn Pentest-Tools zur Waffe werden

Manuelle vs. automatisierte Penetrationstests

Warum automatisiertes Pentesting wichtig ist

Automatisierung ist die Zukunft

Automatisiertes Pentesting?

Erkenntnisse eines Angriffs auf ein Versorgungsunternehmen

Der Nutzen von Penetrationstests

Gesetze, Vorschriften, viele Fragen

Sechs Merkmale guter Security-Penetrationstests

Cloud Penetration Testing

Penetrationstests für Cloud-Dienste durchführen

Tool-Tipp: Kali Linux

Mit Kali Pentests durchführen und Sicherheitslücken finden

(ID:49685306)