Nội dung trình bày:

• Giới thiệu
• Cài đặt
• Quét hệ thống
• Kết quả quét

Giới thiệu

• Là công cụ mã nguồn mở, quét lỗ hổng bảo mật trên các gói phần mềm đã được cài đặt trên OS.
• Vuls quét dựa trên thông tin từ NVD, OVAL, …
• Những OS được support: Alpine, Ubuntu, Debian, RHEL, Oracle Linux, CentOS, SUSE Enterprise, …
• Kết quả quét có thể xem với Terminal Based Viewer hoặc VulsRepo (Web UI).
• Thông báo kết quả quét qua email, slack.
  

Cài đặt

Sau đây là các bước cài đặt trên Ubuntu

Cài đặt các yêu cầu

Package

$ sudo apt-get install sqlite git gcc make wget
$ wget https://dl.google.com/go/go1.10.2.linux-amd64.tar.gz
$ sudo tar -C /usr/local -xzf go1.10.2.linux-amd64.tar.gz
$ mkdir $HOME/go

Thêm export vào /etc/profile.d/goenv.sh

export GOROOT=/usr/local/go
export GOPATH=$HOME/go
export PATH=$PATH:$GOROOT/bin:$GOPATH/bin

Set biến môi trường ở trên vào shell hiện tại

$ source /etc/profile.d/goenv.sh

Deploy go-cve-dictionary

Build, kết quả được đặt dưới $GOPATH/bin

$ sudo mkdir /var/log/vuls
$ sudo chown user_name /var/log/vuls
$ sudo chmod 700 /var/log/vuls

$ mkdir -p $GOPATH/src/github.com/kotakanbe
$ cd $GOPATH/src/github.com/kotakanbe
$ git clone https://github.com/kotakanbe/go-cve-dictionary.git
$ cd go-cve-dictionary
$ make install

Fetch dữ liệu từ NVD

$ mkdir $HOME/vuls
$ cd $HOME/vuls
$ for i in `seq 2002 $(date +"%Y")`; do go-cve-dictionary fetchnvd -years $i; done

Deploy goval-dictionary

Build, kết quả được đặt dưới $GOPATH/bin

$ mkdir -p $GOPATH/src/github.com/kotakanbe
$ cd $GOPATH/src/github.com/kotakanbe
$ git clone https://github.com/kotakanbe/goval-dictionary.git
$ cd goval-dictionary
$ make install

Fetch dữ liệu OVAL

Phụ thuộc vào OS cần quét, chi tiết: https://github.com/kotakanbe/goval-dictionary

$ cd $HOME/vuls
$ goval-dictionary fetch-ubuntu 12 14 16 18 #Ubuntu

Deploy Vuls

$ mkdir -p $GOPATH/src/github.com/future-architect
$ cd $GOPATH/src/github.com/future-architect
$ git clone https://github.com/future-architect/vuls.git
$ cd vuls
$ make install

Quét hệ thống

Vuls hỗ trợ local scan và remote scan. Dưới đây là hướng dẫn scan localhost

$ cd $HOME/vuls
# Tạo file config.toml như sau:
[servers]
[servers.localhost]
host = "localhost"
port = "local"

Kiểm tra

Kiểm tra config.toml và setting trên server trước khi scan

$ vuls configtest

Scan

$ vuls scan

Report

$ vuls report -format-one-line-text

$ vuls report -format-short-text
$ vuls report -format-full-text | less

Kết quả quét

Terminal-Based User Interface

$ vuls tui

Web UI

VulsRepo cung cấp giao diện web để thị kết quả một cách trực quan hơn

Tạo một json report của vuls và clone vulsrepo

$ cd $HOME/vuls
$ vuls scan 
$ vuls report -format-json 

$ git clone https://github.com/usiusi360/vulsrepo.git
$ cd vulsrepo/server
$ cp vulsrepo-config.toml.sample vulsrepo-config.toml

# Nội dung file vulsrepo-config.toml
[Server]
rootPath = “/home/user_name/vuls/vusrepo”
resultsPath = “/home/user_name/vuls/results”
serverPort = “5111”

Start vulsrepo-server

$ ./vulsrepo-server

Một số hình ảnh của vulsrepo

Thông tin chi tiết xem tại: https://vuls.io/

Nội dung trình bày:

1. OWASP ZAP là gì
2. Cài đặt
3. Sử dụng như thế nào

OWASP ZAP là gì

• Là công cụ quét lỗi bảo mật của ứng dụng web, mã nguồn mở.
• Các tính năng của ZAP:
  • Zap như một proxy giữa trình duyệt và web app, do đó ta có thể inspect, modify những request được gửi đến app.
    
  • Spider: là tính năng được sử dụng để tự động khám phá ra những URL trên website. Nó bắt đầu với một danh sách URL, sau đó xác định tất cả các URL có trên các trang và thêm chúng vào danh sách URL cần thăm tiếp theo, đệ quy tiếp tục để tìm được URL mới.
  • Active scan: là tính năng tự động scan để tìm những lỗi đã được biết trước.
  • Passive scan: khi Zap được đặt làm proxy cho trình duyệt, nó sẽ scan tất cả HTTP message (request và response) được gửi đến web app để xác định lỗi. Passive scan không thay đổi request và response.
  • Fuzzing: là tính năng cho phép submit nhiều dữ liệu không hợp lệ lên server.
  • ....

Cài đặt

• Download và cài đặt theo hướng dẫn tại đây:
  https://github.com/zaproxy/zaproxy/wiki/Downloads
  

Sử dụng

Khởi tạo

1. Explore app thủ công

   • Sau khi start Zap, bước đầu tiên ta nên explore app thủ công, sử dụng tối đa các chức năng mà web app cung cấp, bởi có những tính năng cần dữ liệu hợp lệ để có thể tiếp tục.
   • Để explore, ta Launch Browser ở tab Quick Start hoặc đặt Zap là proxy cho trình duyệt (Preference --> Local Proxy)

2. Sau khi đã explore, ta nên lưu session để tái sử dụng lần sau

3. Tạo Context

   • Context là một tập url, thường là một web app
   • Context cung cấp các tính năng quan trọng như: Authentication, Users, Session Management…
   • Nếu web app cung cấp nhiều role, ta nên lưu mỗi role vào một Zap session.
   • Các bước tạo context:
     • Trong phần Sites, click icon New Context, sau đó tạo context mới
     • Double click vào context vừa tạo
       
     • Mục Authencitation: chọn Authentication mehtod phù hợp
       
     • Mục Users: click Add để thêm mới một user
       

4. Include web app vào context vừa tạo
   

5. Thêm những context cần quan tâm và loại những context khác từ Scope bằng cách chuột phải vào mỗi context, sau đó click icon Show only URL in Scope
   

Tính năng Spider và Active Scan

1. Chọn Attack --> Spider
   

2. Chọn Context, User, sau đó Start Scan
   

3. Active Scan cũng tương tự, kết quả sẽ được show trong tab Alert

Tính năng Fuzzing

1. Chọn một submit request từ phần Sites cần test, sau đó chọn Fuzz từ menu Attack
2. Double click một tham số cần gán nhiều giá trị, tại mục Fuzz Locations --> Add --> Add --> Chọn payload type cần test --> Add --> Start Fuzzer
   

More

Để tìm hiểu chi tiết, chọn Help --> OWASP ZAP User Guide