渗透测试：数十款重要工具介绍
来源：湖北国菱编辑部
时间：2018-05-19
1、扫描/渗透测试
OpenVAS ——是一个提供多种服务和工具的框架，用户可获取一个强大的综合性漏洞检测和漏洞管理方案。
MetasploitFramework ——是一款针对远程目标开发和执行入侵代码的工具，它包括一些重要的子项目，如Opcode Database，Shellcode 文档以及相关研究。
KaliLinux——是一个衍生自 Debian 的 Linux 发行版，专门为数字取证和渗透测试而设计。Kali Linux 预装了大量渗透测试程序，包括 nmap(端口扫描程序)，Wireshark(数据包分析程序)，John an Ripper(密码破解器)以及 Aircrack-ng(用于渗透测试无线局域网的软件套件)。
pig ——是数据包制作工具。
scapy——是基于python 的互动型数据包控制程序和库。
Pompem——是一款开源工具，便于搜索自动化的设计，可利用主要数据库的漏洞。用Python语言开发，具备一个高级搜索系统，因此方便渗透测试员和道德黑客的做测试。其现行版本是在多个数据库种执行搜索，包括Exploit-db，1337day，PacketstormSecurity等。
Nmap ——是一款用于网络发现和安全审计的工具，Nmap 免费且开源。
2、监控/日志
justniffer——是一款网络协议分析器，可以捕捉网络流量并以自定义方式产生日志，可以模拟 Apache 网络服务器日志文件，追踪响应时长，再从 HTTP 流量中提取被破译的文件。
httpry——是一款专门为显示和记录HTTP流量而设计的数据包窃听工具。其作用不是进行分析，而是捕捉，拆分和记录流量，以备日后分析。可以在拆分流量的同时同步显示流量，或者作为后台程序，记录输出文件。其编写已尽可能轻量且灵活，可以方便兼容其他应用。
ngrep——是一个可感知pcap的工具，力求提供 GNU grep 的大部分常见功能，并将它们应用到网络层，你可以用它指定扩展正则表达式或六进制表达式来匹配数据包的数据有效载荷。ngrep 目前能识别以太网，PPP，SLIP，FDDI，Token Ring和无效接口上的IPv4/6，TCP，UDP，ICMPv4/6，IGMP 和 Raw 协议，可按照常见的数据包窃听工具(如tcpdump和snoop.ngrep)那样去BPF 规则过滤。
PassiveDNS——能被动收集DNS 记录以备应对突发事件，网络安全监控(NSM)和常规电子取证。PassiveDNS 可以从接口窃取数据包或是读取 pcap 文件然后把 DNS 服务器的回答输出到日志文件，可以把复制的DNS回应缓冲/聚集在内存中，无需释放就能限制日志文件的数据量。
Sagan——它使用一个类似 Snort 的引擎和规则分析日志(syslog/eventlog/snmptrap/netflow等)。
NodeSecurity Platform——它和 Snyk 的功能类似，但是很多时候是免费的，其他收费功能也比较便宜。
Ntopng——是一个网络流量探测器，可显示网络使用情况，类似Unix top命令所做的操作。
Fibratus ——是一个用于挖掘和追踪 Windows 内核的工具。它可以捕捉大部分的 Windows 内核活动——进程/线程的创建和结束，文件系统I/O，注册，网络活动，DLL加载/卸载等等。Fibratus具备一个简单的 CLI，里面内置了一个装置可启动内核事件流收集器，设置内核事件过滤器或运行被称为Filaments 的轻量级 Python 模块。
3、IDS / IPS /Host IDS / Host IPS
Snort ——1998年由 Martin Roesch 创建的一款免费且开源的网络入侵防御系统(NIPS)及网络入侵检测系统(NIDS)。Snort 现在由Sourcefire 开发，而 Roesch 是公司创始人兼CTO。2009年，Snort 被 InforWorld 列入“开源名品堂”。
Bro ——是一款强大的网络分析框架，其与典型 IDS 有很大不同。
OSSEC——是一个综合型的开源 HIDS。需要花点时间才能上手。它执行日志分析，文件完整性检查，政策监控，工具包检测，实时警报和主动响应。可在大多数操作系统上运行，包括 Linux，MacOS，Solaris，HP-UX，AIX 和 Windows。有大量合理的文件记录。支持中型到大型部署。
Suricata——是一款开源高性能的网络 IDS，IPS 和网络安全监控引擎，为一个社区运营的非盈利基金(开放信息安全基金)所有，该组织负责此工具的开发和技术支持。
SecurityOnion ——是一款基于Ubuntu的Linux工具，用于入侵检测，网络安全监控以及日志管理。它包含Snort，Suricata，Bro，OSSEC，Sguil，Squert，Snorby，ELSA，Xplico，NetworkMiner和许多其他安全工具。借助易于上手的安装向导，可在几分钟内为企业创建大量分布式传感器。
sshwatch ——为 SSH 而写的入侵防御系统，类似用 Python 写的 DenyHosts。它还可以把攻击者实施攻击时的信息收集起来写入日志。
Stealth —— 作为文件完整性的检测器，它基本可以做到无遗漏。由于控制器在另一台机器上运行，因此攻击者很难知道文件系统正通过 SSH 协议，以定义好的伪随机间隔进行检测，适用于中小型部署使用。
AIEngine ——是一款下一代互动型/可编程 Python/Ruby/Java/Lua数据包检测引擎，具备不受人为干扰的学习能力，具备网络入侵检测系统，DNS 域名分类，网络收集器，网络取证等功能。
Denyhosts—— 基于 Thwart SSH 词典的攻击和暴力破解。
Fail2Ban ——扫描日志文件，可对表现出恶意行为的 IP 采取行动。
SSHGuard ——除 SSH 外，此软件还可保护其他 C 语言编写的服务。
Lynis —— 为Linux/Unix 编写的开源软件审计工具。
4、蜜罐/蜜网
HoneyPy —— 这是一款中小型交互式蜜罐。可通过插件部署和扩展，还能进行自定义配置。
Dionaea —— 此工具是nepenthes 的延续者，嵌入了 python 语言，使用libemu 来检测填充数据(shellcode)，支持IPv6 和 tls 协议。
Conpot ——ICS/SCADA 蜜罐。Conpot 是一个小型交互式服务器端工控系统蜜罐，易于部署，修改和扩展。通过常见的工控协议搭建自有系统，可以仿效复杂的基础设施让攻击者认为自己找到的是一个大型工业枢纽。
Amun —— 基于Python 的低端交互式蜜罐。
Glastopf ——此蜜罐可以模仿数千个漏洞，从针对 Web 应用的攻击中收集数据。其原理很简单：向攻击 Web 应用的人发出正确的响应。
Kippo —— 这是一个中型交互式 SSH 蜜罐，只在记录暴力破解，最重要的是整个壳(shell)的交互操作都由攻击者执行。
Kojoney —— 这是一款可模仿 SSH 服务器的小型交互式蜜罐。其守护进程用 Python 编写，使用的是 Twisted Conch 库。
HonSSH —— 是交互程度较高的蜜罐方案。HonSSH 会在攻击者和蜜罐之间创建两个单独的 SSH 连接。
Bifrozt ——是一个带DHCP 服务器的 NAT 设备，通常里面会部署一个直接联网的NIC 和一个连接内网的 NIC。而 Bifrozt 不同于其他标准 NAT 设备的地方是它可以在攻击者和蜜罐之间扮演一个透明的 SSHv2 代理。
HoneyDrive—— 这是最早的 Linux 版本蜜罐。它是一个安装了 Xubuntu Desktop 12.04.4LTS 的虚拟装置。它包含10个以上预装和预配置好的蜜罐软件包，如 Kippo SSH 蜜罐，Dionaea 和 Amum 恶意软件蜜罐。
CuckooSandbox —— Cuckoo沙箱是一个对可疑文件进行自动化分析的开源软件。它会在独立环境运行的同时，利用自定义组件监控恶意进程的行为。
5、完整的数据包捕捉/取证
tcpflow —— 此程序可捕捉 TCP 连接中的数据，并将数据以便于协议分析和修复的方式保存起来。
Xplico ——其目的是从互联网传输中提取数据并捕获应用数据。例如，从一个 pcap 文件中，Xplico 可以提取每个邮件(POP，IMAP和SMTP协议)，所有的 HTTP 内容，每个VoIP 通话，FTP，TFTP等。Xplico 部署网络协议分析器。它是一个开源的网络取证分析工具(NFAT)。
Moloch ——是一款开源的大型 IPv4 抓包(PCAP)，检索和数据库系统。暴露的 API 接口可导致 PCAP 数据和JSON 格式的对话数据直接被下载。使用 HTTPS 和HTTP Digest 模式密码支持或使用 apache 可实现简单的安全部署。Moloch 并不能替代 IDS 引擎，相反它们指尖相辅相成可以一起使用，可以 PCAP 格式将保存和检索所有网络流量，提供快速访问。Moloch可在多个系统上部署，可进行扩展以应对多种网速传输。
OpenFPC —— 这套工具可提供一个轻量级的完整数据包网络传输记录器和缓存系统。其目的是允许非专业人士在 COTS 硬件上部署一个分布式网络传输记录器，同时还能集成原有警报和日志管理工具。
Dshell ——是一个网络取证分析框架，可快速开发插件以便对捕获的网络数据包进行剖析。
stenographer—— 此数据包捕获方案旨在快速地把所有数据包到放到磁盘中，然后对所有数据包的子集提供简单快速的访问。
6、嗅探器
wireshark——是一款免费且开源的数据包分析器。用于网络故障检修，分析，软件和通信协议开发以及教育。类似 tcpdump，但多了一个图像前端，一些综合筛选和过滤选项。
netsniff-ng——是一款免费的 Linux 网络工具包，是日常 Linux 版的网络疏通利器。它依靠零复制机制保障性能，这样一来在数据包的接收和传输上，内核就无需把数据包从内核空间复制到用户空间，反之亦然。
Live HTTPheaders ——是一个免费的火狐插件，可以实时查看浏览器请求。它会显示所有请求的完整标头，可用来寻找部署过程中的安全漏洞。
7、安全信息和事件管理
Prelude ——是一个通用型安全信息和事件管理(SIEM)系统，它会独立收集，规范化，筛选，汇总，关联和报告所有与产品品牌安全相关的事件或导致这类事件发生的许可证;Prelude 无客户端。
OSSIM —— 提供一切安全专家需要的性能，从 SIEM 产品到事件收集，规范化以及关联，一应俱全。
FIR ——是一个快速应急响应，网络安全应急管理平台。
8、VPN
OpenVPN —— 这是一个开源软件应用，部署了虚拟专用网络(VPN)，可在路由配置或桥接，以及远程访问设备间创建安全的“点对点”连接。它使用的自定义安全协议可利用SSL/TLS进行密钥交换。
9、数据包快速处理
DPDK —— 包含多个库和驱动，可进行数据包的快速处理。
PFQ —— 这是一个功能型的网络框架，用于 Linux 操作系统，在端口(socket)/端点间提供高效的数据包捕获/传输(不小于10G)，内核功能处理和数据包引导。
PF_RING —— 这是一种新型网络端口，可显著提升数据包捕获的速度。
PF_RING ZC(Zero Copy) ——是一个灵活的数据包处理框架，数据处理(RX和TX)的线路速率可达1/10 G。它部署的零复制操作包括内部处理和内部-VM(KVM)通信的样本。
PACKET_MMAP/TPACKET/AF_PACKET—— 可利用其提升 Linux 数据捕获和传输的性能。
netmap ——是一个用于高速数据包输入/输出的框架，可配合 VALE 软交换一起使用，它以独立内核模块的形式部署，可用于FreeBSD，Linux 和Windows 系统。
10、防火墙
pfSense ——是FreeBSD 版本的防火墙和路由。
OPNsense ——此产品开源且易于操作，基于 FreeBSD 的防火墙和路由平台，其包括昂贵的商用防火墙的大部分功能。它具备收费产品的丰富性能，但却是一款开源且可靠的产品。
fwknop —— 通过防火墙中单独的数据包授权保护端口。
11、反垃圾邮件
SpamAssassin– 是一款采用多种检测技巧，强大且受欢迎的垃圾邮件过滤器。
12、用于渗透测试的 Docker 镜像
docker pullkalilinux/kali-linux-docker official Kali Linux
docker pullowasp/zap2docker-stable – official OWASP ZAP
docker pullwpscanteam/wpscan – official WPScan
docker pullremnux/metasploit – docker-metasploit
docker pullcitizenstig/dvwa – Damn Vulnerable Web Application (DVWA)
docker pullwpscanteam/vulnerablewordpress – Vulnerable WordPress Installation
docker pullhmlio/vaas-cve-2014-6271 – Vulnerability as a service: Shellshock
docker pullhmlio/vaas-cve-2014-0160 – Vulnerability as a service: Heartbleed
docker pullopendns/security-ninjas – Security Ninjas
docker pulldiogomonica/docker-bench-security – Docker Bench for Security
docker pullismisepaul/securityshepherd – OWASP Security Shepherd
docker pulldanmx/docker-owasp-webgoat – OWASP WebGoat Project docker image
docker-composebuild && docker-compose up – OWASP NodeGoat
docker pullcitizenstig/nowasp – OWASP Mutillidae II Web Pen-Test Practice Application
鄂公网安备 42100202000212号