Repousser une attaque de pirate informatique est l’une des responsabilités les plus importantes d’un administrateur système. Cela est particulièrement nécessaire pour les sites Web contenant des informations client sensibles et un grand nombre d’utilisateurs. Par conséquent, il est important qu’un administrateur système prenne des mesures proactives pour rechercher et corriger les vulnérabilités de ses sites Web.
Vega Vulnerability Scanner est un outil capable d'analyser les sites Web à la recherche de failles de sécurité. Il s'agit d'un logiciel de test Web gratuit et open source développé par la société de sécurité Subgraph. Cet outil possède des fonctionnalités intéressantes comme un scanner de proxy, mais l'article se concentrera sur l'aspect des tests de sécurité automatisés qui peuvent aider à trouver et à valider l'injection SQL, les vulnérabilités de script intersite (XSS) , la divulgation accidentelle d'informations sensibles et de nombreuses autres vulnérabilités.
Il existe des scanners d'applications Web similaires à Vega, tels que Burp Suite Scanner de Portswigger et Security Scanner de Netsparker, qui disposent tous deux de scanners de vulnérabilité avancés, mais le scanner de Vega peut effectuer bon nombre des mêmes tâches, ce qui est entièrement gratuit. Le scanner de Vega aide à trouver et à comprendre la gravité des vulnérabilités des applications Web en affichant de manière claire et concise les ressources utiles dans chaque analyse.
Comment utiliser Vega pour analyser les sites Web à la recherche de failles de sécurité
Étant donné que Vega Vulnerability Scanner est généralement préinstallé sur la plupart des versions de Kali Linux, vous devez utiliser le système Kali. Si vous ne savez pas si Vega est configuré sur votre système Kali ou non, vous pouvez exécuter la commande apt-get comme indiqué dans la fenêtre du terminal ci-dessous. L'utilisateur recevra un message indiquant qu'il est installé si tel est le cas, et sinon, utilisez cette commande pour l'installer.
apt-get update && apt-get install vega
Si vous utilisez BlackArch, vous pouvez installer Vega Vulnerability Scanner avec la commande ci-dessous. BlackArch n'utilise pas le gestionnaire de packages APT, les utilisateurs doivent donc utiliser Pacman.
pacman -S vega
Dans Kali Linux, les outils sont automatiquement organisés en catégories, cliquez donc sur « Applications », puis survolez la catégorie « Web Application Analysis » et cliquez sur « Vega ». En fonction de l'utilisation des versions de Kali telles que XFCE, le menu Applications peut être légèrement différent. Vous pouvez également simplement rechercher « Vega » à partir de l' écran « Afficher les applications » .
Après avoir démarré l'application pour la première fois, vous devriez examiner les options disponibles. Dans le coin supérieur gauche, cliquez sur le menu « Fenêtre », puis regardez « Préférences ».
Si vous souhaitez analyser anonymement Vega et proxy toutes les connexions, sélectionnez l'option " Activer le proxy SOCKS " sous Général et entrez une adresse et un port proxy. Si vous utilisez Tor, entrez l'adresse et le port Tor par défaut (127.0.0.1:9050). Cela aidera à masquer la source de l'analyse. Si vous utilisez un service proxy gratuit ou premium, sélectionnez l'adresse et le port souhaités.
Si vous décidez d'analyser Vega via Tor, vous pouvez également envisager de remplacer l'agent utilisateur de Vega par l'agent utilisateur du navigateur Tor. Cela aidera les utilisateurs à accéder à certains sites (mais pas à tous) qui bloquent les requêtes HTTP Tor.
Pour modifier l'agent utilisateur Vega, cliquez sur la catégorie " Scanner " et entrez l'agent utilisateur du navigateur Tor à côté de User-Agent, puis cliquez sur " Appliquer " et " OK " pour enregistrer les modifications. Vous trouverez ci-dessous l’agent utilisateur actuel du navigateur Tor en février 2018.
Mozilla/5.0 (Windows NT 6.1 ; rv:52.0) Gecko/20100101 Firefox/52.0
L'agent utilisateur du navigateur Tor changera à chaque mise à jour majeure du navigateur Tor. Pour trouver le dernier agent utilisateur, ouvrez un navigateur Tor récent et saisissez about:config dans la barre d'URL. Si vous voyez un avertissement, sélectionnez « J'accepte le risque », puis saisissez useragent.override dans la barre de recherche.
Un double-clic sur l'entrée s'affiche, permettant à l'utilisateur de copier la chaîne de l'agent utilisateur. Alternativement, vous pouvez également cliquer avec le bouton droit et sélectionner " Copier ".
Une autre chose dans le menu Scanner que les utilisateurs peuvent vouloir modifier est l' option Nombre maximum de requêtes par seconde à envoyer . Par défaut, le logiciel est réglé sur 25 requêtes/seconde.
Selon le scénario, cette demande par seconde peut être trop ou pas assez. En supposant que vous ayez l'autorisation d'analyser un site Web avec Vega, dix requêtes par seconde sont probablement un bon chiffre pour commencer. Pour les sites que vous possédez, 100 requêtes par seconde peuvent être plus appropriées. Le montant requis dépend entièrement de l'utilisateur.
Vous ne remarquerez pas d'augmentation de la puissance de traitement en utilisant plus de requêtes par seconde, vous pouvez donc fixer ce nombre en toute sécurité. Vega n'est pas un outil DDoS, la bande passante Internet et la bande passante du site Web réduiront automatiquement les demandes.
Les paramètres du Listener dans " Proxy " sont des options sans rapport avec les scanners. L' option " Debug " dans la section Scanner est destinée aux développeurs Vega.
Maintenant que Vega est installé et configuré, vous pouvez commencer à analyser le site. Pour lancer la numérisation, ouvrez le menu « Scan » en haut à gauche et cliquez sur « Démarrer une nouvelle analyse ». La fenêtre Sélectionner une cible d'analyse apparaîtra, entrez l'URL que vous souhaitez analyser dans la case ci-dessous Cible d'analyse, puis cliquez sur " Suivant ".
Vega dispose de dizaines de modules conçus pour détecter une variété de vulnérabilités courantes des serveurs Web telles que les vulnérabilités d'injection SQL, XSS et XML. Si vous souhaitez activer tous les modules d'analyse, sélectionnez-les simplement tous et cliquez sur " Terminer " pour lancer l'analyse du site Web. Sinon, désélectionnez les modules qui ne vous intéressent pas lors de la première exécution.
Remarque : S'il n'est pas nécessaire d'ajuster les options d'authentification ou de paramètres , sélectionnez simplement « Terminer » après avoir sélectionné les modules.
Cette analyse peut prendre de 2 à 8 heures en fonction de la taille du site et des requêtes par seconde précédemment définies. Les utilisateurs savent qu'une analyse a commencé lorsque le site Web apparaît dans l' onglet Alertes d'analyse . Une fois l'analyse terminée, vous recevrez un rapport détaillé sur les failles de sécurité trouvées.
Une fois l'analyse terminée, Vega présentera un résumé clair et concis des alertes. Si Vega signale des vulnérabilités « élevées », les utilisateurs n'ont pas besoin de paniquer. Les modules de Vega sont très sensibles et génèrent parfois des faux positifs pour des vulnérabilités qui n'existent pas réellement. Parfois, ce n'est pas une mauvaise chose. Par conséquent, vous devez parcourir le rapport et vérifier chaque avertissement manuellement.
Vega fait un excellent travail en expliquant la signification de chaque avertissement, comment ils affectent le site et comment corriger les vulnérabilités. Il comprend également des références utiles qui peuvent aider les utilisateurs à mieux comprendre comment gérer les vulnérabilités. En cliquant sur l’une des alertes, vous afficherez des tonnes d’informations utiles.
Vega est un excellent outil pour aider les chercheurs en sécurité à mieux comprendre les évaluations de sécurité Pentest. Un large choix de modules permet même aux nouveaux utilisateurs d'approfondir les risques de sécurité potentiels et d'évaluer leur gravité pour les sites Web. Toute personne souhaitant améliorer la sécurité d’un site Web et améliorer ses compétences en matière de piratage Web adorera Vega et sa facilité d’utilisation.
En savoir plus :
Le réseau privé virtuel, ou VPN en abrégé, permet aux utilisateurs de se connecter en toute sécurité à un serveur via Internet et offre un anonymat complet pour surfer sur le Web. L'article d'aujourd'hui abordera les différences entre les VPN gratuits et les VPN payants afin que vous puissiez prendre la bonne décision.
Saviez-vous que les emojis fonctionnent presque partout de nos jours ? Vous pouvez les utiliser dans presque toutes les applications de votre ordinateur, même en les insérant dans les noms de fichiers et de dossiers sous Windows 10.
La mise à niveau du micrologiciel du routeur est toujours une bonne idée. Alors, comment mettre à niveau le micrologiciel du routeur sans fil ? Nous vous invitons à vous référer à cet article !
Sous Windows 10, il y a une horloge par défaut sur la barre des tâches, mais de nombreuses personnes la trouvent un peu petite par rapport à l'écran de leur ordinateur. Par conséquent, cet article vous présentera une excellente application d’horloge de bureau pour Windows 10.
Realtek HD Audio Manager est l'un des logiciels les plus populaires et les plus utiles dont les utilisateurs Windows disposent sur leur PC. Habituellement, il est installé sur le PC, mais les utilisateurs ne peuvent même pas le trouver à l'aide du moteur de recherche Windows.
WPA3 (Wi-Fi Protected Access 3), le « successeur » de WPA2, est l'une des meilleures normes de sécurité pour les appareils intelligents.
Voulez-vous savoir lequel de vos disques durs a la vitesse la plus rapide et s'il est vraiment aussi rapide que le promettent les fabricants ? Qu'il s'agisse d'un PC ou d'un serveur, l'utilitaire gratuit Diskspd testera et évaluera vos disques durs.
Il existe de nombreuses façons de bloquer un programme sur le système d'exploitation Windows, mais le moyen le plus efficace de bloquer une application ou un programme sous Windows consiste peut-être à utiliser le pare-feu Windows.
Windows fournit une série d'outils sur le Panneau de configuration afin que les utilisateurs puissent facilement personnaliser la plupart des paramètres. Cependant, l'accès au Panneau de configuration prend parfois un certain temps et vous pouvez utiliser un autre moyen plus rapide que via la commande Exécuter.
Le Gestionnaire des tâches contient de nombreuses applications utilitaires sur votre ordinateur, permettant aux utilisateurs de vérifier les applications, processus et services actuellement en cours d'exécution sur l'ordinateur. Les utilisateurs peuvent utiliser le Gestionnaire des tâches pour lancer, arrêter des programmes et arrêter des processus....
