Тулкит пентестера

Правило, которое идёт раньше любого инструмента: авторизация

Прежде чем хоть одна категория ниже станет важной, — шлюз: ты запускаешь эти инструменты только против систем, которыми владеешь или на тестирование которых есть явное письменное разрешение. Сканер, обходящий приложение, фаззер, долбящий эндпоинт, и nmap, сметающий подсеть, — это всё попытки несанкционированного доступа в тот момент, когда они касаются хоста, которого нет в твоём подписанном скоупе. Пакеты идентичны, целишься ли ты в свою лабораторию или в чужой продакшен; единственное, что превращает это в пентест, а не в правонарушение по закону о компьютерных преступлениях, — документ об авторизации с названной в нём целью. Поэтому порядок всегда такой: сначала подтверди письмо об ангажементе и скоуп, задай лимиты скорости в правилах проведения работ, а уже потом открывай инструмент. Тренируйся на специально уязвимых лабораториях (свои ВМ, OWASP Juice Shop, намеренно собранные CTF-цели) — но никогда на хосте, который ты просто нашёл.

Зачем вообще учить категории — ради защитной симметрии: тот же прокси, что позволяет атакующему изменить запрос, — это инструмент, которым защитник видит, что на самом деле отправляет его собственный клиент; и тот же сканер, что атакующий запускает против тебя, тебе стоит запустить против себя первым.

Четыре категории и для чего каждая

Инструментарий пентеста выглядит как разрастающийся хаос, пока ты не отсортируешь его по вопросу, на который отвечает каждый инструмент. Работ на самом деле четыре, и каждый инструмент — это в основном одна из них.

Разведка отвечает на что существует. nmap — канонический пример: он говорит, какие хосты подняты и какие порты отвечают, картируя поверхность атаки, чтобы ты не тратил усилия на то, чего нет. Механизм — это просто отправка специально сформированных зондов и чтение ответов, — но именно поэтому он шумный, и поэтому сеньор настраивает тайминг (шаблоны -T у nmap), чтобы держаться ниже порогов обнаружения и в пределах лимитов скорости, заданных правилами проведения работ.

Перехватывающий прокси отвечает на что клиент реально шлёт и что произойдёт, если я это подделаю. Это самый важный инструмент для веб-тестирования, и Burp Suite — его архетип. Он стоит между браузером и сервером (man-in-the-middle на твоём собственном трафике), так что каждый запрос замирает там, где ты можешь его отредактировать, прежде чем он дойдёт до сервера: поменять userId, выкинуть поле цены, переиграть запрос с чужим токеном. Так находят баги, которые не видит сканер: IDOR, сломанный контроль доступа и любое значение, которому сервер верит от клиента.

Сканер отвечает на какие известные плохие паттерны присутствуют. Он обходит сайт и выстреливает библиотеку сигнатур: устаревшие версии компонентов, отражённый XSS, отсутствующие заголовки безопасности, дефолтные учётки. Он быстрый и широкий — и именно он порождает отчёт из вступления. Сканер — это машина с высокой полнотой и ужасной точностью на чём-либо тонком; он никогда не сообщит «это оформление заказа доверяет присланной клиентом цене», потому что это не паттерн, а бизнес-правило.

Фаззер отвечает на что ломается под потоком странных вводов. Наведи ffuf на словарь, чтобы обнаружить скрытые эндпоинты (/admin, /.git/, бэкап-файлы), или используй Burp Intruder, чтобы распылять полезные нагрузки по одному параметру в поисках инъекции. Инструмент не может сказать тебе, что находка — это баг; он говорит, какие вводы дали аномальный ответ (другой код статуса, другую длину, более медленный отклик), а ты решаешь, что это значит.

Почему категории размываются — и почему это ловушка

На практике границы смазываются. Burp Suite — это прокси и сканер и фаззер (Intruder) в одном продукте; ZAP такой же. Это удобство прячет реальный риск: джуниор запускает автоматический скан Burp, видит чистый отчёт и заключает, что приложение защищено. Но он использовал Burp-как-сканер и ни разу не использовал Burp-как-прокси, чтобы вручную подделать хоть один запрос, — так что весь класс багов IDOR/контроля доступа остался непротестированным. Категория инструмента, которую ты пропустил, — это класс багов, который ты не проверил. Сеньор относится к четырём категориям как к чек-листу покрытия, а не как к панели кнопок: картировала ли разведка поверхность, гонял ли я прокси вручную, прошёлся ли сканер по известным паттернам, охотился ли фаззер за скрытой поверхностью — и, что критично, рассуждал ли человек о логике, которую не покрывает ни одна категория?

Как читать отчёт сканера по-сеньорски

Автоматический вывод — это стартовая гипотеза, никогда не вывод. Каждая находка сканера требует, чтобы человек ответил на три вопроса, прежде чем она станет тикетом: реальна ли она (или это ложное срабатывание на неэксплуатируемом пути), достижима ли она (сидит ли за аутентификацией или фичефлагом, что делает её неактуальной), и важна ли она (серьёзность в контексте этого приложения, а не дженериковый CVSS сканера). Сто сорок находок из вступления схлопнулись до трёх, потому что сеньор применил ровно этот фильтр — а затем добавил баги, которые сканер структурно найти не может.