Joomscan wsparcie w skanach aplikacji Joomla to kolejna odsłona wpisów o narzędziach – wspierających Waszą pracę przy tematyce Security. JoomScan, to narzędzie dedykowane analizie bezpieczeństwa aplikacji opartych o system Joomla.
Wprowadzenie
Joomla to jeden z najpopularniejszych systemów zarządzania treścią (CMS), szeroko wykorzystywany do tworzenia stron internetowych, portali czy intranetów. Jak każdy duży CMS, również Joomla może być narażona na ataki — szczególnie jeśli jest nieaktualna lub używa podatnych rozszerzeń. Jednym z narzędzi, które pozwala szybko ocenić poziom bezpieczeństwa witryny Joomla, jest JoomScan.
Opis narzędzia
JoomScan to darmowe narzędzie typu open-source opracowane przez OWASP, służące do wykrywania podatności w stronach opartych na Joomla. Jest szeroko wykorzystywane przez specjalistów ds. bezpieczeństwa, administratorów oraz pentesterów.
Kluczowe cechy narzędzia
-
Dedykowane Joomla
-
Specjalizacja w analizie struktury Joomla, wersji, rozszerzeń i konfiguracji.
-
-
Identyfikacja wersji Joomla
-
Pozwala na szybkie ustalenie wersji Joomla oraz potencjalnych luk bezpieczeństwa.
-
-
Wykrywanie podatnych komponentów
-
Analizuje zainstalowane komponenty, moduły i szablony.
-
-
Sprawdzanie znanych podatności
-
Baza danych oparta o publiczne CVE i dane OWASP.
-
-
Szybkie i lekkie skanowanie
-
Doskonałe do szybkiej oceny bezpieczeństwa bez nadmiernego obciążania serwera.
-
-
Możliwość pracy z proxy
-
Pozwala na anonimowe testy.
-
-
Otwartoźródłowość
-
Można modyfikować i rozwijać wg własnych potrzeb.
-
-
Integracja z CI/CD
-
Łatwo można uruchamiać JoomScan w pipeline’ach, np. w GitLab CI.
-
Instalacja
JoomScan wymaga Pythona lub Perla w zależności od wersji, ale najpopularniejsza wersja dostępna jest jako pakiet Perla.
sudo apt update
sudo apt install perl git libwww-perl
git clone https://github.com/OWASP/joomscan.git
cd joomscan
Dla systemu Windows: Można użyć Perla np. przez Strawberry Perl lub w systemie WSL (Linux subsystem for Windows).
Podstawowe i zaawansowane polecenia
perl joomscan.pl -u http://example.com
2. Skanowanie z proxy
perl joomscan.pl --help
-
Wersja Joomla
-
Pomaga określić, czy strona korzysta z nieaktualnej wersji CMS.
-
-
Lista komponentów
-
Lista rozszerzeń, które mogą mieć znane podatności.
-
-
Podatności
-
Znane luki w zabezpieczeniach – np. RCE, SQLi, LFI.
-
-
Błędy konfiguracyjne
-
Np. brak pliku
configuration.php-distmoże świadczyć o złych praktykach.
-
-
Publiczne katalogi
-
Wskazanie na potencjalnie niebezpieczne katalogi, np.
/administrator/,/tmp/.
-
Integracja z gitlab-ci.yml
Aby uruchomić narzędzie na gitlabie aby uruchamiać skany szybko bez konieczności przygotowywania środowiska, wystarczy stworzenie skryptu:
image: perl:latest
stages:
- scan
variables:
JOOMSCAN_URL: "https://example-page.pl"
TERM: "xterm"
scan_job:
stage: scan
script:
- apt-get update && apt-get install -y git libwww-perl
- cpanm LWP Bundle::LWP
- git clone https://github.com/OWASP/joomscan.git
- cd joomscan
- perl joomscan.pl --url $JOOMSCAN_URL
Szkolenie
Jeżeli interesuje Cię mocno temat narzędzi dla QA do wsparcia tematów bezpieczeństwa, zajrzyj na naszą ofertę szkolenia wprowadzenia do testów bezpieczeństwa dla QA.
Zapisz się już teraz wraz z kodem LI-10 (-10%)
Podsumowanie
JoomScan to praktyczne, lekkie i skuteczne narzędzie do szybkiego skanowania bezpieczeństwa aplikacji Joomla. Dzięki wsparciu OWASP oraz szerokiemu wykorzystaniu w środowisku security, stanowi solidny punkt startu do analizy podatności. Joomscan wsparcie w skanach aplikacji Joomla to kolejny wpis na temat Security na serwisie dlaTesterow.PL. Narzędzie dzięki prostocie obsługi i możliwości integracji z innymi narzędziami jak np. z Gitlabem,
