Analyse d’applications web avec Nikto et OWASP ZAP

Les applications web exposent des surfaces d’attaque complexes : paramètres d’URL, champs de formulaire, témoins, en-têtes, téléversements de fichiers et API. Les analyseurs automatiques sondent systématiquement tous ces éléments à la recherche de vulnérabilités courantes.

Nikto est un analyseur de serveurs web en ligne de commande qui recherche les fichiers dangereux, les logiciels obsolètes, les en-têtes non sécurisés et les CVE connues. Il est rapide, simple et bavard, mais pas discret.

Nikto préfixe les résultats du signe +. Recherchez notamment les interfaces d’administration exposées, les listes de répertoires, les en-têtes de sécurité manquants, les versions obsolètes du serveur et les fichiers potentiellement dangereux comme /phpinfo.php.

OWASP ZAP (proxy d’attaque Zed) est un analyseur de sécurité des applications web complet, doté d’une interface graphique (GUI) et d’une interface de programmation. Il fonctionne comme proxy, robot d’exploration et analyseur actif, ce qui le rend adapté aux vérifications manuelles comme automatisées.

Configurez votre navigateur pour utiliser ZAP comme proxy (localhost:8080). ZAP capture tout le trafic et construit une carte du site. Cette phase passive recueille des informations sans envoyer de charges utiles d’attaque.

Le robot d’exploration parcourt l’application en suivant les liens et les actions des formulaires. Le robot AJAX gère les applications monopages riches en JavaScript. Tous deux construisent une carte complète du site pour l’analyse active.

L’analyseur actif envoie des charges utiles d’attaque (injection SQL, XSS, traversée de chemin) à chaque entrée découverte. Niveaux de risque : élevé, moyen, faible et informatif.

ZAP regroupe les résultats en alertes. Chaque alerte affiche : le niveau de risque, le degré de confiance, l’URL concernée, la charge utile utilisée, les éléments probants de la réponse et les mesures correctives recommandées. Un degré de confiance élevé signifie moins de faux positifs.

ZAP fournit une image Docker pour automatiser les analyses dans les chaînes de traitement. Le script zap-baseline.py effectue une analyse passive adaptée à l’intégration continue ; zap-full-scan.py effectue une analyse active.

Nikto : simple, rapide et utilisable en ligne de commande, il convient surtout aux vérifications rapides et aux problèmes liés au serveur. ZAP : complet et fondé sur un proxy, il gère les applications complexes et convient mieux aux vulnérabilités au niveau de l’application ainsi qu’à l’intégration continue.

N’analysez que les systèmes qui vous appartiennent ou pour lesquels vous avez une autorisation écrite. Une analyse non autorisée peut enfreindre la législation (CFAA, loi sur l’utilisation abusive de l’informatique) et les conditions d’utilisation, même si aucune nuisance n’est recherchée.

Qu’est-ce qui distingue l’analyseur actif de ZAP de l’analyse passive ?

Nikto fournit en quelques secondes des résultats rapides au niveau du serveur. ZAP propose une analyse approfondie au niveau de l’application, avec interception par proxy, exploration et attaques actives. Les deux outils nécessitent une autorisation. Dans les chaînes de traitement matures, automatisez des analyses de référence ZAP à chaque déploiement afin de détecter les régressions avant leur mise en production.