ハッカーはIPアドレスを取得後、WhatWebコマンドを活用したウェブサイト解析でサイトを丸裸にして脆弱性を見つける

ハッカーが一番最初にすることは、IPアドレスを調べることでした。

丸裸にするには、Kali Linuxの「whatweb」コマンドを利用します。

コマンドの名の通り、「対象のサイトはどんなサイトなんだろう」と思いますよね。

その問いに答えてくれるのがwhatwebなんです。

WhatWebは、ハッカーがハッキングや、ペネトレーションテスト、バグハンティングを行う際に、ウェブサイトやWebアプリケーションの検出と解析を行うためのウェブスキャンツールです。

 

コンテンツ管理システム(CMS)、ブログプラットフォーム、統計/分析パッケージ、JavaScriptライブラリ、ウェブサーバ、組み込みデバイスなどのウェブ技術を認識します。WhatWebには1800以上のプラグインがあり、それぞれが異なる何かを認識します。WhatWebはバージョン番号、メールアドレス、アカウントID、ウェブフレームワークモジュール、SQLエラーなども識別します。

 

Kali Linuxでは、セキュリティテストやネットワークスキャンのためのツールとしてインストールされています。

 

 

以下は、WhatWebを使用する基本的な手順です。

 

Kali Linuxのターミナルを開きます。WhatWebはKali Linuxにデフォルトでインストールされているため、特別な操作は必要ありません。

 

WhatWebを実行するには、対象となるウェブサイトのURLやIPアドレスを指定する必要があります。たとえば、次のようにコマンドを入力します。

 

WhatWebは対象のウェブサイトにアクセスし、HTTPレスポンスを解析して情報を収集します。解析が完了するまで待機します。

 

WhatWebは、ウェブサイトに関する様々な情報を収集し、それをターミナル上に表示します。これには、使用されている技術やフレームワーク、セキュリティの脆弱性などが含まれます。

 

 

ここでは、私のテスト環境である「やられサーバOWASP BWA」を利用します。

もし、インストールされるならこちらが参考になると思います。

 

 

通常のコマンドの「whatweb example.com」に以下の2つのオプションを付加します。

 

アグレッション・レベルは、スピード／ステルス性と信頼性のトレードオフをコントロールする攻撃レベルを設定します。(デフォルトは1です。)

・使い方

 

“1"：　Stealthy ターゲットごとに1つのHTTPリクエストを行い、リダイレクトにも従います。

“3"：　Aggressive レベル1のプラグインにマッチした場合、追加のリクエストを行 います。

“4"：　Heavy ターゲットごとに大量のHTTPリクエストを行います。すべてのプラグインからのURLが試行される。

※レベルが大きくなるほど、対象のサーバーから情報をたくさんリクエストするため、対象のサーバーに負荷がかかります。

 

 

※対象のサーバーが自分のテストサーバーの為、アグレッション・レベルを4(Heavy)にしています。

 

以下続きます。

 

それでは、順番に見ていきましょう。

 

総括している情報です。詳しい情報は下記をごらんください。

 

WhatWebはウェブサイトの解析を通じてApacheのバージョン情報や使用されているモジュール、送信されるHTTPヘッダー情報などを収集します。これにより、ウェブサーバーがApacheであるかどうかや、そのバージョンが古い場合にはセキュリティ上のリスクがあるかどうかを判断できます。

 

ウェブサイト内のリンクやHTMLソースコードを解析してメールアドレスを収集し、そのドメインから電子メールサーバーの情報を取得します。これにより、サイトの連絡先情報やメールサーバーの構成を特定し、セキュリティや連絡手段の分析に役立ちます。

 

ウェブサイトがHTML5で作成されていることを示す可能性があります。

 

ウェブサイトがどの種類のHTTPサーバーソフトウェアを利用しているかを示します。HTTPServerの情報は、WhatWebがウェブサイトのHTTPレスポンスを解析して収集します。この情報には、使用されているHTTPサーバーソフトウェアの名前やバージョンが含まれます。

 

ウェブサイトがjQueryというJavaScriptライブラリを使用していることを示します。

 

ウェブサイトがMatomo（以前はPiwikとして知られていた）というウェブ解析ツールを使用していることを示します。

 

ウェブサイトがOpenSSLという暗号ライブラリを使用していることを示します。WhatWebはウェブサイトのHTTPレスポンスやSSL証明書を解析し、OpenSSLが使用されているかどうかを検出します。

 

ウェブサイトがPHPというサーバーサイドスクリプト言語を使用していることを示します。WhatWebがPHPを検出することで、ウェブサイトが動的なコンテンツを生成していることや、サーバーサイドの処理にPHPを利用していることが分かります。

 

ウェブサイトがPhusion Passenger（または単にPassengerとも呼ばれる）というアプリケーションサーバーを使用していることを示します。Passengerは、RubyやNode.js、Pythonなどのアプリケーションをホスティングするためのアプリケーションサーバーであり、ApacheやNginxなどのウェブサーバーと連携して動作します。

 

ウェブサイトがPerlというプログラミング言語を使用していることを示します。WhatWebがPerlを検出することで、ウェブサイトがPerlスクリプトを使用して動的なコンテンツを生成していることや、バックエンド処理にPerlを利用していることが分かります。

 

ウェブサイトがPythonというプログラミング言語を使用していることを示します。WhatWebがPythonを検出することで、ウェブサイトがPythonスクリプトを使用して動的なコンテンツを生成していることや、バックエンド処理にPythonを利用していることが分かります。

 

ウェブサイトがスクリプト言語（JavaScriptなど）を使用していることを示す場合があります。スクリプトはウェブページの動的な機能やインタラクティブな要素を提供するために使用されます。

 

ウェブサーバーがクライアントに送信するHTTPヘッダーに関する情報を示します。

 

 

簡単に言うと、解析結果をGoogleで検索します。

 

WhatWebの結果をGoogleで活用する際には、次のような方法があります。

 

WhatWebの結果には、ウェブサイトやアプリケーションの使用技術やバージョン情報が含まれます。この情報を元に、特定のソフトウェアやフレームワークに既知の脆弱性が存在するかどうかをGoogleで検索します。

例えば、

といったキーワードで検索します。(※vulnerabilitiesは脆弱性の意味です。)

※英語記述だったので日本語に翻訳しています。

 

WhatWebの結果に含まれるソフトウェアやフレームワークのバージョン情報を元に、それらの公式ウェブサイトやリリースノートをGoogleで検索し、セキュリティアップデートの有無を確認します。セキュリティアップデートがリリースされている場合は、対策を実施する必要があります。また、アップデートがされていない場合は、脆弱性があるということです。

 

 

WhatWebコマンドは、ウェブサイトやWebアプリケーションの解析を行う際に強力なツールとなります。このツールを使うことで、ハッカーは対象となるウェブサイトの技術スタックやセキュリティ脆弱性などの情報を収集することが可能になります。