Identificar un escáner HTTP de algunos encabezados HTTP

Question

Identificar un escáner HTTP de algunos encabezados HTTP

#1 de CodeExpress (2 votos)

0

Mi servidor personal de Apache ocasionalmente obtiene algunas exploraciones bastante obvias para detectar vulnerabilidades. El cliente que realiza el análisis realiza los métodos GET HTTP / 1.1 en una variedad de URL y utiliza una variedad de campos de User-Agent. El escáner parece usar siempre los siguientes encabezados HTTP en cada solicitud (no necesariamente en este orden):

Accept: */*
Accept-Language: en-us
Accept-Encoding: gzip, deflate
Connection: Close

He probado algunas de las bibliotecas de cliente web de código abierto (libwww-perl de Perl, la biblioteca de rizos de PHP, Python, wget, pmapwn, quizás algunas otras), pero por defecto, nada de lo que he intentado genera solicitudes HTTP con eso. combinación de los valores de encabezado Aceptar, Aceptar-Idioma y Aceptar-Codificar.

Basado en la identificación del sistema operativo Nmap poco después de las exploraciones, y en la identificación pasiva p0f, el cliente o el escáner probablemente se ejecuta en Linux.

¿Qué cliente HTTP o escáner de vulnerabilidad genera solicitudes GET con esos valores de encabezado? ¿Alguien puede indicarme el código fuente para ello?

EDIT

Daré más información. El campo User-Agent en este escáner a veces aparece como "Morfeus Fucking Scanner", "Morfeus", "ZmEu", "Hecho por ZmEu @ WhiteHat Team - www.whitehat.ro", y posiblemente otros. No, no es el escáner pmapwn que ha tenido "ZmEu" como su Agente de Usuario a veces.

http web-scanners identification

pregunta Bruce Ediger 06.07.2012 - 17:32

fuente

1 respuesta

Lea otras preguntas en las etiquetas http web-scanners identification

nessus escanea contra explotaciones de metasploit ¿Cómo encuentra el dominio clave del cifrado de multiplicación de manera eficiente?

score 2 · Answer 1

La toma de huellas dactilares precisas de un escáner de vulnerabilidades mediante la inspección de los campos del encabezado HTTP puede ser inexacta e ineficiente. Casi cualquier cliente http decente le permitirá cambiar / modificar / agregar encabezados HTTP, por lo que nunca se sabe si el usuario que lo ejecuta ha cambiado esos encabezados.

Por ejemplo, un escáner de vulnerabilidad de código abierto común skipfish tiene indicadores para imitar a un navegador en sus patrones de solicitud. De su documentación :

Por defecto, skipfish envía encabezados HTTP minimalistas para reducir el cantidad de datos intercambiados a través del cable; algunos sitios examinan User-Agent cadenas o orden de encabezado para rechazar clientes no compatibles, sin embargo. En En tal caso, puedes usar -b ie o -b ffox para imitar a uno de los dos navegadores populares; y -b teléfono para imitar iPhone.