Tester la sécurité de votre site avec Nikto

Nikto est un petit soft en perl qui vous permettra de tester la sécurité de votre site web .

Ce logiciel est téléchargeable à l’adresse ici .

On décompresse

tar -xvzf nikto-version.tar.gz
cd nikto-version

Pour lancer nikto il suffit de :

perl nikto.pl -h votre_site_web

 

Exemple de résultat :

- GoogleBot v2.1.0/2.1.0---------------------------------------------------------------------------+ Target IP:          192.168.1.254+ Target Hostname:    votre_nom_host+ Target Port:        80+ Start Time:         2010-01-04 17:09:56---------------------------------------------------------------------------+ Server: Apache/2.2.9 (Debian) PHP/5.2.6-1+lenny4 with Suhosin-Patch- Root page / redirects to: http://www.votresiteweb.com/blog/+ OSVDB-0: robots.txt contains 1 entry which should be manually viewed.+ No CGI Directories found (use '-C all' to force check all possible dirs)+ OSVDB-0: Apache/2.2.9 appears to be outdated (current is at least Apache/2.2.14). Apache 1.3.41 and 2.0.63 are also current.+ OSVDB-0: Number of sections in the version string differ from those in the database, the server reports: 5.2.6.45.1.43.108.101.110.110.121.4 while the database has: 5.2.8. This may cause false positives.+ OSVDB-0: PHP/5.2.6-1+lenny4 appears to be outdated (current is at least 5.2.8)+ OSVDB-877: HTTP TRACE method is active, suggesting the host is vulnerable to XST+ OSVDB-561: /server-status: This reveals Apache information. Comment out appropriate line in httpd.conf or restrict access to allowed hosts.+ OSVDB-3268: /icons/: Directory indexing is enabled: /icons+ OSVDB-3233: /icons/README: Apache default file found.+ 3582 items checked: 10 item(s) reported on remote host+ End Time:           2010-01-04 17:10:32 (36 seconds)---------------------------------------------------------------------------+ 1 host(s) tested

Attention ce genre de test demande pas mal de ressources à votre serveur web , biensur tout ceci est enregistré dans les logs access.log d’apache2.

Pour avoir une aide complète

perl nikto.pl -H

En cas d’utilisation malveillante de ce logiciel (ce qui ne m’étonnerait pas )  il faut tout de même pas oublier que le piratage est sévèrement puni .
Pour votre sécurité 🙂 je vous conseil de passer par certains proxy :

Liste de proxy russes

Une chose simple à faire est de modifier le script nikto.pl il suffit de changer la directive :

NIKTO{name}       = "Nikto";

En par exemple

$NIKTO{name}       = "Robot_référencement";

Comme dis plus haut tout les accès sont enregistrés dans access.log avec le nom nikto en changeant la directive ci-dessus c’est « Robot_référencement qui apparaitra.

Pour terminer ce genre de test peut être bloqué par les IDS

Related posts

Leave a Comment