Webserver-Pentesting mit Nikto

Die Liste der erfolgreichen Angriffe über Webserver ist lang. Das liegt zum einen an den Implementierungen der Webserver selbst, die Angreifern durch Programmierfehler Zugriff auf Ressourcen des Betriebssystems ermöglichen, die eigentlich nicht von außen zugänglich sein sollten. Das liegt aber auch an Einstellungen, die Administratoren für Ihre Webserver vornehmen, etwa die Konfiguration von Aliasen, das Erlauben von Verzeichnislistings oder Fehler bei der Absicherung bestimmter Bereiche und Funktionen. Zum Dritten laufen vor allem bei dynamischen Webanwendungen im Hintergrund häufig Interpreter von Skriptsprachen oder Applikationsserver, die selbst wieder Sicherheitsprobleme verursachen können oder einfach unsichere Skripte oder Programme ausführen.

Wenn Sie für die Sicherheit Ihrer Unternehmensinfrastruktur verantwortlich sind, haben Sie vermutlich einen Überblick darüber, welche Webserver aus dem Internet zugänglich sind. Bestenfalls betreiben Sie diese in speziellen Bereichen Ihrer DMZ und setzen Web-Application-Firewalls ein, um Angriffe möglichst zu verhindern. Nikto [1] bietet Ihnen die Möglichkeit, den Webserver, die Konfiguration und die hinterlegten Inhalte zu prüfen, und erstellt Ihnen einen entsprechend ausführlichen Bericht, mit dem Sie die verantwortlichen Kollegen unterstützen können, den Betrieb weiter abzusichern.

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.