La mejor manera de realizar pruebas de seguridad para un servidor detrás del proxy nginx [cerrado]

2

Estoy intentando realizar algunas pruebas de seguridad para mi servidor (no para un servidor web) que se encuentra detrás de un proxy nginx. Para empezar, he hecho algunas pruebas fuzz utilizando Sulley. Como era de esperar, la mayoría de las solicitudes difusas fueron manejadas por nginx. También intenté usar la herramienta BED, pero como mi servidor espera una solicitud en un URI específico ( enlace ), no pude hacer el mejor uso de eso (¿Es eso posible?)

Mi pregunta, ¿hay alguna posibilidad adicional de realizar pruebas fuzz (que podría haber pasado por alto)? Si es así, ¿qué herramientas se pueden utilizar?

También estoy buscando una herramienta para hacer pruebas de penetración. Gracias de antemano por sus aportaciones.

    
pregunta pragmatic 13.02.2015 - 11:23
fuente

1 respuesta

1

Estoy de acuerdo en que Burp suite es una buena herramienta, pero hay muchos tipos diferentes de herramientas para realizar pruebas de penetración. Las herramientas son útiles para realizar pruebas pero es necesario comprender la aplicación y el entorno. A continuación, puede seleccionar las herramientas adecuadas para el trabajo.

Usted indicó que su servidor no es un servidor web, pero está detrás de un proxy nginx, entonces, ¿qué tipo de servidor es? Comprender el entorno y la "superficie de ataque" es el primer paso.

Una vez que entiendas eso, debes buscar vulnerabilidades y vectores de ataque. Una vez que encuentre una vulnerabilidad, deberá comprender si es explotable.

Gran parte de esto no se puede hacer con una herramienta.

Echa un vistazo a "Engebretson, Patrick. Los conceptos básicos de pirateo y prueba de penetración: el hackeo ético y la prueba de penetración son fáciles, segunda edición. Syngress Publishing. © 2013" para obtener una buena descripción general de pentesting.

    
respondido por el COL Wotohice 13.02.2015 - 18:23
fuente

Lea otras preguntas en las etiquetas