Re: Cgi Report

On Wed, Jul 04, 2001 at 12:10:30AM +0200, Override wrote:
> Qualcuno są indicarmi dove posso consultare un database di cgi buggate?
> siti come packetstorm e securityInfo non hanno TUTTI i cgi.
Non mi risulta ci siano progetti per tenere un db di TUTTI i cgi bacati...
Lo hanno fatto per le password di default, per exploit per singoli sistemi
operativi, ma per TUTTI i cgi non mi pare.

Neanche ISS o Webtrend Security Analyzer hanno tutto nella lista dei loro 'cgi
bacati', perche' ne vengono sfornati talmente tanti, a un ritmo tale che credo
si diventerebbe pazzi per organizzarli tutti.
Di cgi scanner molto completi, che dispongono di lista + o - aggiornate
possono consigliarti:

- Arigang ( me lo ha segnalato zen@kill-9.it in icq )
  che testa ben 641 vulnerabilita':
  naif@life:~/arirang-1.5$ wc -l all.uxe
      641 all.uxe
URL: http://www.monkey.org/~pilot/arirang/index.html

- Whisker v1.4, sicuramente il migliore cgi scanner esistente.
  Flessibile, supporta tecnice anti ids, brute forcing, riconoscimento
  del webserver, e quindi scansione dei soli cgi relativi a quella release
  di software e parecciho altro.
URL: http://www.wiretrip.net/rfp/p/doc.asp?id=21&iface=1

Saluti

-- 

Fabio Pietrosanti ( naif )
E-mail: naif@sikurezza.org - naif@blackhats.it
PGP Key (DSS) http://naif.itapac.net/naif.asc
--
Free advertising: www.openbsd.org Multiplatform Ultra-secure OS
Free Flame: IPFilter sucks ! 

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List