تقرير اختبار الاختراق يحوي على النتائج الرئيسية لعمليات المسح الأمني في عملية اختبار الاختراق. التقرير النهائي لعملية اختبار الاختراق يعرض الخدمة المقدمة والمنهجية التي تم اتباعها من أجل إيجاد الثغرات والحصول على النتائج والتوصيات. العديد من مختبري الاختراق يعتبرون عملية إعداد التقرير مهمة مملة لأنها تتطلب الكثير من الوقت والجهد.

في هذا المقال سوف نتعرف على الأدوات الموجودة في الكالي والتي تساعد في تسهيل عملية إعداد التقرير، هذه الأدوات مفيدة لحفظ النتيجة النهائية ليتم الإشارة إليها بشكل سريع عند إعداد التقرير وتسمح لك بمشاركة النتائج مع فريق العمل.

سوف نتعرف على طريقة استخدام هذه الأدوات وطرق تصدير نتائج عمليات الفحص من بعض الأدوات المشهورة مثل nmap, Burp, Nikto, OWASP Zap

في هذا المقال سوف نتعرف على الأدوات التالية:

  • Dradis
  • Magic Tree
  • Metagoofil

Dradis:


منصة مفتوحة المصدر تساعد على إعداد تقارير خاصة بخبراء أمن المعلومات والحماية وهذه الأداة تم تطوريها باستخدام لغة البرمجة Ruby

يمكننا الوصول لهذه الأداة في الكالي من خلال:

Application >> Reporting Tools>> Dradis

1

هذه الأداة عبارة عن تطبيق ويب بحد ذاتها وبالتالي يمكننا الوصول إليها من المتصفح من خلال العنوان التالي:

https://127.0.0.1:3004

2

لتخطي رسالة الخطأ الخاصة بالشهادة يمكننا الضغط على “I Understand the Risks” من أجل إضافة استثناء والسماح لهذه الأداة بالعمل.

رسالة الخطأ الخاصة بالشهادة تظهر لأن Dradis تستخدم شهادة موقعة ذاتياً.

3

سوف تظهر الصفحة التالية:

4

الخطوة التالية هي الحصول على كلمة سر server password من أجل الوصول لهذا التطبيق، يمكننا الضغط على ‘Back to the app” من أجل الوصول لصفحة الإعدادات الخاصة بكلمة السر.

يجب أن نقوم بإدخال كلمة السر ومن ثم الضغط على “initialize”

5

يجب أن نقوم بإدخال اسم المستخدم وكلمة السر في الصفحة التالية:

6

وبعد نجاح عملية تسجيل الدخول سوف نحصل على الواجهة التالية:

7

الان يمكننا استخدام هذه الأداة من خلال الضغط على “add branch” وتسميته باسم “Security Test”

8

الان يمكننا الضغط بالزر الأيمن على الفرع branch الجديد الذي تم إنشاءه ومن ثم اختيار “add child” من أجل إضافة sub-branch فرع فرعي.

يوجد نوعان من الخيارات المتاحة:

الأول هو إضافة فرع فرعي sub-branch جديد والثاني هو إضافة جهاز host

9

يمكننا خلق شجرة بحسب الحالة التي نعمل عليها، في الصورة التالية فإن الفرع “Security Test” مقسم إلى ثلاث أفرع فرعية لها الأسماء التالية:

  • PortScan
  • Application Scan
  • Nessus vulnerability scan

وكل من هذه الأفرع الفرعية مقسم أيضاً إلى مجلدات خاصة بأدوات مختلفة.

يمكننا إضافة جهاز host داخل أي فرع أو أي فرع فرعي، في هذا المثال قمنا بإضافة العنوان IP: 10.48.14.12 ضمن مجلد Nmap والهدف من ذلك هو وضع نتيجة الفحص باستخدام nmap للجهاز صاحب العنوان IP: 10.48.14.12

10

يمكننا الضغط على “import file from..” واختيار “NmapUpload” ومن ثم اختيار الملف الذي يحوي على نتيجة عملية الفحص ليتم رفعه
11

ومن ثم الضغط على “Open” لتبدأ عملية التحقق من هذا الملف ورفعه.
12

ويعد الانتهاء من هذه العملية يمكننا رؤية كل المنافذ المفتوحة في الجهاز الهدف.
13

كما يمكننا إضافة ملاحظات إضافية من خلال الضغط على “add note”

14

كما يمكننا إضافة لقطة للشاشة screenshot لأي منفذ أو لأي خدمة من خلال

Attachment >> Add >>

ومن ثم نختار الصورة المطلوبة ليتم رفعها.
15

ومن ثم الضغط على “Upload” ليتم رفع الصورة المحددة.

16

لرؤية هذه الصورة يمكننا الضغط عليها بشكل مزدوج.

17

وبشكل مماثل يمكننا رفع نتائج البحث الخاصة بأدوات أخرى مثل Nessus, burp, Nikti and Owasp ZAP
18
19

وبعد نجاح هذه العملية سيتم عرض كل الثغرات المكتشفة ضمن المجلد الخاص بكل أداة

المثال التالي لرفع نتائج المسح الخاصة بأداةBurp suite

20
21

وبشكل مماثل يمكننا رفع نتائج البحث الخاصة ب Nessus

22
23

 

24

كما يمكن إضافة لقطات للشاشة وملاحظات بنفس الطريقة السابقة.

في الشكل التالي يمكننا رؤية البيانات المرتبة بحسب العمليات ضمن المجلدات الخاصة بكل أداة

25

يمكننا أيضاً تصدير التقرير النهائي على شكل تقرير واحد يحوي على كل هذه المعلومات السابقة، للأسف فإن تصدير التقرير على شكل مستند word or pdf غير متاح إلا في النسخة المدفوعة من هذه الأداة.

للتعرف على الميزات المدعومة في النسخة المدفوعة من هنا .

طريقة تصدير التقرير النهائي على شكل صفحات HTML:

الخطوة 1: نختار النتائج المراد تضمينها في التقرير من خلال الضغط بالزر اليميني على “Category” واختيار “Assign to..” ومن ثم اختيار “HTML Export ready” كما في الشكل التالي:
26
27

الخطوة 2: بعد تضمين النتائج المراد تصديرها في التقرير يمكننا الضغط على “export” واختيار “Html export” كما في الشكل التالي:

28

29

الجدول التالي يظهر أسماء الأدوات وصيغة التقارير المدعومة من قبل Dradis

 

Name

Expects

Burp Scanner output (.xml) file upload

Burp Scanner XML output. Go to the Scanner tab > right-click item > generate report

NeXposeSimpleXML file upload

[undefined]

Nessus output (.nessus) file upload

Nessus XML (V2) format.

Nikto XML file upload

Nikto results XML. Use the -o switch with a file name ending in .xml

Nmap output (.xml) file upload

Nmap results file in XML format. Generate with –oX

OpenVAS XML file upload

[undefined]

Project package upload

A Dradis project archive (.zip) generated through Export > Project export > Full project

Project template upload

A Dradis template XML file generated through Export > Project Export > As template

Retina Network Security Scanner (.xml) file upload

Retina XML Vulnerability Export

SureCheck SQLite3 file upload

Expects an .sc file from SureCheck which is in SQLite3 format

Typhon III vulnerability scanner output file upload

Warning: this plugin is not implemented yet

Web Exploitation Framework (wXf) file upload

wXf output in XML format

ZAP Upload plugin

ZAP Proxy XML reports. Generate through Report > Generate XML Report …

w3af file upload

w3af output in XML format

 

Magic Tree:


عبارة عن أداة لإدارة البيانات وإعداد التقارير بشكل مشابه ل Dradis وهي مصممة لتسمح لنا بترتيب البيانات والاستعلام منها بشكل سهل جداً بالإضافة إلى توليد التقارير، هذه الأداة موجودة بشكل تلقائي في الكالي ضمن التصنيف “Reporting tools”

يمكننا الوصول لهذه الأداة من خلال:

Application >> Reporting Tools >> Magic Tree

 

30

 

31

يمكننا اختيار ملف ليتم رفعه من خلال:

File >> open

 

 

33

وسيتم ترتيب البيانات ضمن عقد كما في الشكل التالي:

34

وعند توسيع العقد يمكننا رؤية البيانات كما في الشكل التالي:

35

يمكننا طلب مجموعة من البيانات من خلال سطر الأوامر، ويوجد عدة طرق مختلفة لطلب البيانات:

Q*: لتشغيل استعلام يحدد كل العقد المحددة حالياً و من نفس النوع.

مثلاً: إذا قمنا باختيار OS ومن ثم قمنا بالضغط على “Q*” فسوف يتم عرض قائمة بكل العقد من نوع OS الموجودة ضمن الحقل “Query”

36

Q1: إذا قمنا باختيار OS ومن ثم الضغط على “Q1” فسوف يتم عرض كل العقد من نوع OS كما يظهر في الشكل التالي:

37

وبهذه الطريقة يمكننا استخراج المعلومات المطلوبة من شجرة البيانات باستخدام سطر الأوامر.

هذه الأداة قادرة على تشغيل nmap من خلال الضغط بالزر الأيمن على “test data” ومن ثم اختيار “Create child” واختيار “Simple node”
38

يجب أن نقوم بإدخال تفاصيل الجهاز الهدف ومن ثم الضغط على Enter

39

الآن يمكننا الضغط على “Q1” وإدخال تعليمة nmap في الحقل “Command” والضغط على “Run”

40

سوف تبدأ nmap بإجراء عملية الفحص المطلوبة وسيتم خلق مهمة جديدة تظهر في أسفل القائمة على يسار الشاشة

41

كما يمكننا الوصول إلى سطر الأوامر ورؤية عملية الفحص من خلال الضغط على “Console”

42

وعند انتهاء عملية الفحص يمكننا رؤية النتائج على شكل XML ضمن العقدة task

43

كما يمكننا نقل النتائج إلى الشجرة الحالية من خلال الضغط على “xmlData” ثم الضغط على “Merge XML data”

44

وعندها سيتم إضافة نتيجة الفحص إلى الجهاز “65.61.137.117” كما يظهر في الشكل التالي:

45

يمكننا توليد تقرير على شكل مستند word من خلال القائمة “Report” ومن ثم اختيار “Generate report”

46

كما يمكننا اختيار شكل التقرير من خلال النماذج المتوفرة

47

ومن ثم تحديد المكان الذي نريد تصدير التقرير إليه

48

التقرير يكون كما في الشكل التالي:

49
50

Magic Tree vs. Dradis:


كلا الأداتين تم تطوريهما للقيام بنفس المهمة وهي إعداد وتوليد التقارير والتعامل مع أداوت اختبار الاختراق المختلفة وإضافة المعلومات بشكل يدوي أو بشكل اتوماتيكي وفي النهاية توليد التقرير النهائي.

الجدول التالي يظهر الفروقات بين الأداتين:

Magic Tree

Dradis

General

Platform support

Multi-platform: Java

Multi-platform: Ruby

Architecture

Desktop application

Client-server. A fat client and a web interface are available

License

Proprietary. Distributed free of charge

Open source. GNU GPL.

Supported import formats

Nmap

Yes

Yes

Nikto

Yes

Yes

Nessus

Yes

Yes

Burp

Yes

Yes

OpenVAS

Yes

Yes

Qualys

Yes

No

Imperva Scuba

Yes

No

Typhon

No

Yes

NeXpose

No

Yes

Netsparker

No

No. User-contributed plug-in exists

W3af

No

Yes

ZAP

No

Yes

Supported report formats

Microsoft Word

Yes

Yes

OpenOffice

Yes

No

HTML

No

Yes

Other features

Adding file attachments to nodes

Yes

Yes

Searching data in the tree

Yes

Yes

Dradis-only features

تدعم تصدير معلومات الثغرات من OSVDB and MediaWiki

التعاون عبر الانترنت من خلال الوصول المتعدد لنفس قاعدة البيانات.

MagicTree-only features

تنفيذ المهمات من خلال سطر الأوامر وجمع نتائج تنفيذ هذه الأوامر.

تحليل البيانات والسماح بالاستعلام عن البيانات من خلال سطر الأوامر

Metagoofil:


أداة لجمع المعلومات مصممة لتقوم باستخراج المعلومات الذاتية metadata من المستندات المنشورة للعامة pdf, doc, xlc, ppt, docx, pptx,  xlsx الخاصة بهدف أو شركة معينة.

وهي جزء من أدوات إعداد التقارير ويمكن أن تعطي الكثير من المعلومات المهمة من خلال فحص الملفات التي تحصل عليها ويمكنها توليد صفحات HTML تحوي على المعلومات الذاتية metadata التي تمكنت من استخراجها بالإضافة إلى قائمة بأسماء المستخدمين المحتملين وهذه المعلومات مفيدة جداً في هجمات القوة الغاشمة brute force attacks على الخدمات التي تعمل على السيرفر مثل ftp, web application, VPN, or pop3

وهذا النوع من المعلومات يساعد مختبر الاختراق في مرحلة الاستطلاع وجمع المعلومات.

هذه الأداة تعمل من خلال الخطوات التالية:

  1. البحث عن الملفات المطلوبة في الموقع الهدف باستخدام محرك البحث google
  2. تحميل كل الملفات التي تم إيجادها.
  3. استخراج المعلومات الذاتية metadata من هذه الملفات.
  4. حفظ النتيجة في صفحات HTML

طريقة استخدام Metagoofil من أجل توليد تقرير لعملية اختبار اختراق:

الخطوة 1: هذه الأداة غير موجودة في الكالي بشكل تلقائي ويمكننا الحصول عليها باستخدام التعليمة التالية:

apt-get install metagoofil

الخطوة 2: بعد الانتهاء من عملية التنصيب يمكننا استخدام التعليمة التالية لعرض الخيارات المتاحة:

metagoofil

 

51

الخطوة 3: يمكننا تشغيل هذه الأداة باستخدام التعليمة التالية:

metagoofil -d target.com -t pdf,doc,ppt -l 200 -n 5 -o /root/Desktop/metagoofil/ -f /root/Desktop/metagoofil/result.html

-d: لتحديد عنوان الهدف.

-t: لتحديد نوع الملفات المطلوب البحث عنها وتحميلها.

-l: لتحديد عدد الملفات في النتيجة النهائية، القيمة الافتراضية هي 200

-n: لتحديد عدد الملفات التي سيتم تحميلها.

-o: لتحديد المسار المراد تحميل الملفات إليه.

-f: لتحديد اسم ومكان التقرير النهائي.

الخطوة 4: لنقم بتجربة هذه الأداة على موقع www.owasp.org

باستخدام التعليمة التالية:

metagoofil -d owasp.org -t pdf,doc,ppt -l 200 -n 5 -o /root/Desktop/metagoofil/ -f /root/Desktop/metagoofil/result.html

كما يظهر في الشكل التالي فإن هذه الأداة وجدت 115 ملف من نوع PDF وقامت بتحميل خمسة ملفات فقط لأننا قمنا بتحديد عدد الملفات المراد تحميلها لتكون خمسة ملفات فقط.

52

 

53
54

الخطوة 5: رؤية الملفات المحملة ضمن المسار التالي:

~/metagoofil

55

الخطوة 6: فتح الملف result.html الذي يحوي على المعلومات التي تم استخراجها من الموقع الهدف.

هذه المعلومات تحوي على:

  • أسماء المستخدمين.
  • إصدارات البرامج.
  • عناوين البريد الالكتروني.
  • مسار الملفات.
  • نتائج تحليل الملفات.

 

56
57

يمكننا فتح الملف result.html باستخدام الأداة w3m والتي تعمل من خلال سطر الأوامر (عبارة عن متصفح يعمل من خلال سطر الأوامر خاص بنظام التشغيل لينكس) هذه الأداة غير موجودة في الكالي بشكل تلقائي ويمكننا الحصول عليها باستخدام التعليمة التالية:

apt-get install w3m

وبعد انتهاء عملية التنصيب يمكننا عرض محتوى التقرير باستخدام التعليمة التالية:

w3m /root/Deskto/metagoofil/result.html

 

58

 

59

 

60

من خلال النتائج السابقة يمكننا الحصول على الكثير من المعلومات المهمة مثل أسماء المستخدمين ويمكن الاستفادة منها في هجمات القوة الغاشمة brute force للتخمين على كلمات السر بالإضافة إلى معلومات عن إصدارات البرامج وهذا يسمح لنا بالبحث عن الثغرات الموجودة في هذه الإصدارات بالإضافة إلى معلومات عن المسارات في السيرفر الهدف.

الخلاصة:


بالرغم من أن Magic Tree and Dradis تقومان بتنفيذ مجموعة من المهام المتشابه ولكل منها إيجابيات وسلبيات، يمكننا الاختيار بين هاتين الاداتين بحسب الحالة المطلوبة.

بالمقابل فإن Metagoofil تعتبر أداة قوية جداً لاستخراج المعلومات الذاتية metadata من الوثائق والمستندات المتاحة في الموقع الهدف كما يمكنها القيام بتوليد تقرير يحوي على معلومات مهمة جداً مثل أسماء المستخدمين ومسارات الملفات وإصدارات البرامج وعناوين البريد الالكتروني ومعلومات أخرى والتي يمكن استخدامها في مراحل مختلفة من عملية اختبار الاختراق.

ترجمة لمقال : Kali Reporting Tools لصاحبها Satyam Singh .

اقرأ ايضا  : مقال : خطوات كتابة تقرير لعملية اختبار اختراق