Scansione di applicazioni web con Nikto e OWASP ZAP

Le app web espongono superfici di attacco complesse: parametri URL, campi dei moduli, cookie, intestazioni, upload di file e API. Gli scanner automatici analizzano sistematicamente tutti questi elementi alla ricerca delle vulnerabilità comuni.

Nikto è uno scanner da riga di comando per server web che verifica la presenza di file pericolosi, software obsoleto, intestazioni non sicure e CVE note. È veloce, semplice e rumoroso: non è progettato per essere furtivo.

Nikto antepone + ai rilevamenti. Cerchi: interfacce di amministrazione esposte, elenchi di directory, intestazioni di sicurezza mancanti, versioni obsolete del server e file potenzialmente pericolosi come /phpinfo.php.

OWASP ZAP (Zed Attack Proxy) è uno scanner di sicurezza per applicazioni web completo di GUI e API. Funziona come proxy, spider e scanner attivo: è adatto sia ai test manuali sia a quelli automatizzati.

Configuri il browser per utilizzare ZAP come proxy (localhost:8080). ZAP cattura tutto il traffico e crea una mappa del sito. Questa fase passiva raccoglie informazioni senza inviare payload di attacco.

Lo spider esegue il crawling dell'applicazione seguendo link e azioni dei moduli. Lo spider AJAX gestisce le app a pagina singola ricche di JavaScript. Entrambi creano una mappa completa del sito per la scansione attiva.

Lo scanner attivo invia payload di attacco (SQL injection, XSS, path traversal) a ogni input individuato. Livelli di rischio: Alto, Medio, Basso, Informativo.

ZAP raggruppa i rilevamenti in alert. Ogni alert mostra: livello di rischio, livello di confidenza, URL interessato, payload di attacco utilizzato, prove dalla risposta e correzione consigliata. Un'elevata confidenza significa meno falsi positivi.

ZAP fornisce un'immagine Docker per la scansione automatizzata nelle pipeline. Lo script zap-baseline.py esegue una scansione passiva adatta alla CI; zap-full-scan.py esegue una scansione attiva.

Nikto: semplice, veloce, da riga di comando, ideale per controlli rapidi e problemi a livello di server. ZAP: completo, basato su proxy, gestisce applicazioni complesse ed è più adatto alle vulnerabilità a livello di applicazione e all'integrazione CI.

Esegua la scansione solo su sistemi di sua proprietà o per i quali dispone di un'autorizzazione scritta. La scansione non autorizzata può violare le leggi (CFAA, Computer Misuse Act) e i termini di servizio, anche se non si intende arrecare danno.

Che cosa distingue lo scanner attivo di ZAP dalla scansione passiva?

Nikto fornisce in pochi secondi rilevamenti rapidi a livello di server. ZAP offre una scansione approfondita a livello di applicazione, con intercettazione tramite proxy, crawling e attacchi attivi. Entrambi richiedono un'autorizzazione. Nelle pipeline mature, automatizzi le scansioni baseline di ZAP a ogni distribuzione per rilevare le regressioni prima che raggiungano la produzione.