Fimap: Scanner LFI(Local File Inclusion ) and RFI(Remote File Inclusion)

Recentemente, mi è stato chiesto che tipo di scanner utilizzassi per cercare vulnerabilità di tipo RFI e LFI , io risposi che il miglior scanner siamo noi.
Purtroppo però non possiamo provare pagina per pagina, potremo inciampare in qualche svista ecc per questo esistono tool come Fimap che fanno tutto in automatico.
Innanzi tutto, per chi non sapesse cosa sia una LFI o una RFI, ecco quanto segue da wikipedia:

RFI o Remote File Inclusion, o RFI, nell’ambito della sicurezza informatica indica una vulnerabilità che affligge i servizi web con uno scarso controllo delle variabili arrivate da un utente, in particolare le variabili GET e POST.

La vulnerabilità si manifesta quando una pagina da includere viene passata per una variabile non controllata.

Local file Inclusion è una vulnerabilità sfruttabile grazie alle funzioni include(), include_once(), require(), require_once() di php o altri linguaggi dove non opportunamente filtrato il “file da includere” è possibile includere un file interno alla macchina come ad esempio /etc/passwd (se si parla di sistemi Unix based)

Vi rimando a google per ulteriori approfondimenti ;)

Ecco, le caratteristiche di FinMap:

• Check a Single URL, List of URLs, or Google results fully automaticly.
• Can identify and exploit file inclusion bugs.
  • Relative\Absolute Path Handling.
  • Tries automaticly to eleminate suffixes with Nullbyte.
  • Remotefile Injection.
  • Logfile Injection. (FimapLogInjection)
• Test and exploit multiple bugs:
  • include()
  • include_once()
  • require()
  • require_once()
• You always define absolute pathnames in the configs. No monkey like pathes like:
  • ../etc/passwd
  • ../../etc/passwd
  • ../../../etc/passwd
  • But in cases where the server doesn’t print messages you can enable the monkey-like checking with --enable-blind!
• Has an interactive exploit mode which…
  • …can spawn a shell on vulnerable systems.
  • …can spawn a reverse shell on vulnerable systems.
  • …can do everything you have added in your payload-dict inside the config.py
• Add your own payloads and pathes to the config.py file.
• Has a Harvest mode which can collect URLs from a given domain for later pentesting.
• Goto FimapHelpPage for all features.
• Works also on windows.
• Can handle directories in RFI mode like:
  • <? include ($_GET["inc"] . "/content/index.html"); ?>
  • <? include ($_GET["inc"] . "_lang/index.html"); ?>
  • where Null-Byte is not possible.
• Can use proxys (experimental).
• Scans GET and POST(in SVN) variables.
• Has a very small footprint.
• Can attack also windows servers! (WindowsAttack) (SVN)
• Has a tiny plugin interface for writing exploitmode plugins (PluginDevelopment)

Per installarlo basta scaricare il pacchetto da qui:
DOWNLOAD Fimap
Estrarlo ed entrare nella sua directory.
es:
cd fimap*
Ora digitiamo, per avere l’help:
python fimap.py -h
Le opzioni, sono davvero molte ed interessanti, ad esempio la possibilità di sfruttare le dork di google -.-’ aaaaaa :D

Buono scanning :D

Related posts:

1. IE 7/8 URL Validation Vulnerability:read local file and Excution CODE
2. [scanner]Plecost: A WordPress Penetration-Test for Plugins
3. OWASP Joomla Vulnerability Scanner
4. [scanner-web]Websecurify: Ottima alternativa ad acunetix :)
5. SqlMap: Ottimo scanner per sql injection :)

This entry was posted on Monday, March 22nd, 2010 at 4:29 pm and is filed under GNU/Linux, Software. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.

Tagged with: attack • exploit • hack • tool