İLTELİS İLERİ TEKNOLOJİ

  PRATİK VE HIZLI ÇÖZÜMLER SUNAR

BEAGLE



        İçerideki ve dışarıdaki web siteleri kurumsal yapıların önemli bir parçası. Günümüzde önemli web sitelerinin saldırıya uğradığını / hacklendiğini ve sonuç olarak kişisel ve müşteri bilgilerinin çalındığı haberlerini duyuyoruz. Bu uygulamaların önemli bir kısmı, otomatik olarak tespit edilebilen ve istismarı kolay zafiyetlere karşı savunmasız halde.

Bir websitesinde herhangi bir zafiyetin olup olmadığını tespit edebilmek ayrı bir teknik bilgi gerektirdiği gibi bulunan zafiyetten faydalanabilmek ekstra bir çaba ve zaman gerektirir. Bu nedenle saldırıyı otomatize edebilecek bir araca her zaman ihtiyaç duyulur.

Beagle bir web sitesini geliştirildiği platformdan (programlama dili, database, vs) bağımsız olarak yaygın güvenlik açıklarına karşı otomatik olarak tarar ve kanıtlar sunarak raporlar.

  • Çoklu session desteği ile aynı anda birden fazla siteye saldırı gerçekleştirilebilir.
  • Saldırı noktalarını (QueryString, Post, Header, Cookie, vb) konfigüre edip sadece belli noktalara saldırmak mümkün.
    Örn: 1. X engine sadece Y isminde olan Z tipindeki injection noktasına saldırsın.
            2. X engine Z tipinde hiç bir injection noktasına saldırmasın.
  • Plugin tabanlı olması uygulamanın çekirdek sistemini bozmadan kolayca genişletilmesini sağlar.
  • Scripting desteği ile web sitesinde herhangi bir sayfaya otomatik saldırı yapmak yerine dinamik oluşturulan payloadlar ile saldırıp sayfanın davranışını analiz etmek mümkün
  • Scope seçenekleri ile web sitesinde crawl edilecek linklerin derinliği ayarlanabilir.

Beagle Web Uygulaması Güvenlik Tarayıcısı .NET framework ile geliştirilen Windows işletim sisteminde çalışabilen bir uygulamadır. Verilen sayfadan başlayarak belirli kapsam çerçevesinde chromium tabanlı browser üzerinde linkleri gezip, formları submit edip yapılan HTTP isteklerini yakalayarak bulduğu injection noktalarında testler gerçekleştirip tespit edebildiği güvenlik açıklarını HTML ve/ya PDF formatında raporlar.

Tarama esnasında grafiksel olarak bulguları izlemek, raporu incelemek ve hatta yapılan saldırıları analiz etmek mümkün. Kanıt iliştirilmesi güvenlik açığının doğrulanmış olduğunu gösterir ve haricen test yapılmasına gerek kalmaz. Ayrıca exploitation desteği ile güvenlik açığından faydalanmak mümkün olabilir. Örneğin; SQL injection zafiyeti ile database sorguları, Command Injection zafiyeti ile işletim sistemi seviyesinde komutlar çalıştırılabildiğini görmüş olursunuz.

Open Web Application Security Project (OWASP) kuruluşunun düzenli olarak yayınladığı yaygın güvenlik açıkları listesini takip eden Beagle, an itibariyle aşağıdaki güvenlik açıklarını raporlayabilmektedir. Heuristic (sezgisel) analiz ile en uygun checki yapıp en kısa sürede güvenlik açığını tespit etmeye çalışır.

- SQL Injection
- Cross-site Scripting (XSS)
- HTML Injection
- Command Injection
- Code Evaluation
- File Inclusion
- Header Injection
- Open Redirect
- Unrestricted File Upload
- XML External Entity (XXE) Injection
- Pasif tarama yaparak önemli bilgilerin ifşa olabileceği durumlar
    - Uygulama versiyonu
    - Doğrudan web sitesinde link verilmemiş ama tahmin edilebilen sayfalar
       - Hata mesajları
       - Yedek dosyalar
       - Dizin listeleme
    - Email adresleri
       - Dahili IP adresi ve dosya yolu
       - Sayfanın kaynak kodu
       - Database bağlantı bilgileri

* Ekran Görüntüleri