줌라(joomla)는 CMS (Contents Management System) 중 하나로,
흔히 블로그에서 사용되거나, 말 그대로 컨텐츠 관리, 이력 관리 시스템 등에 활용되는 오픈 소스 도구이다,
Joomla! - Content Management System to build websites & apps
Joomla! is a free and open-source content management system (CMS) for publishing web content. Over the years Joomla! has won several awards. It is built on a model–view–controller web application framework that can be used independently of the CMS that
www.joomla.org
요즘은 워드프레스라는 도구? 플랫폼?이 너무 유명해져서 다들 이쪽으로 쏠리는 듯 한데,
줌라를 활용한 웹 서비스도 제법 있음이다.
칼리리눅스에서는 이런 줌라를 활용한 웹 서비스에 대한 간단한 취약점 정보 수집 도구를 제공하는데,
그 이름 하야 joomscan이 되겠다!
joomscan에 대해서도 더 자세히 알아야겠다! 하면 홈페이지를 또 참고 할 수 있다.
Category:OWASP Joomla Vulnerability Scanner Project - OWASP
wiki.owasp.org
빠르게 주요 특징만 뽑아보면, 아래와 같다
◎ joomscan 주요 특징
|
칼리 리눅스에서 joomscan 사용 방법은 무지무지 단순한데,
먼저 기본 옵션부터 몇 개 되지 않아 금방 사용하는데 무리가 없다.
◎ joomscan 기본 옵션
| Usage: joomscan [options] --url | -u <URL> | The Joomla URL/domain to scan. --enumerate-components | -ec | Try to enumerate components. --cookie <String> | Set cookie. --user-agent | -a <User-Agent> | Use the specified User-Agent. --random-agent | -r | Use a random User-Agent. --timeout <Time-Out> | Set timeout. --proxy=PROXY | Use a proxy to connect to the target URL Proxy example: --proxy http://127.0.0.1:8080 https://127.0.0.1:443 socks://127.0.0.1:414 --about | About Author --help | -h | This help screen. --version | Output the current version and exit. |
실제 칼리 리눅스에서 해보면,
먼저, -u 옵션을 사용하겠다.
단순! 끝!
바로 작업을 시작한다고 메세지가 나온다
탐색하고자 하는 대상에 따라 스캔 소요 시간은 달라질 것이고,
내가 테스트하는 다른 대상을 예로 보면,
하나, 방화벽 확인은 되지 않았고,
둘, 줌라 버전 확인은 되었으며,
셋, 줌라 취약 버전이 아니고,
넷, 아파치 정보는 수집할 수 없었다.
또 여기에 더하여 추가 수집된 정보를 볼 수 있는데,
admin 페이지 위치나 robots.txt 존재 여부 까지 함께 확인이 가능하다.
나머지 백업 파일, 로그 파일, 설정 파일 정보는 찾지 못하였다.
요즘은 그럴 일이 드물겠지만, 바로바로 서비스 취약점 패치 정보가 들어오니까.
그래도 어쩌다 joomscan으로 취약점 정보를 알게 되면 최신 패치를 하면 될 것이다.
단순하고도 단순한 줌라 취약점 정보 수집도구 joomscan 이었다.
'===취미 세상 : 공부=== > 칼리리눅스' 카테고리의 다른 글
| whatweb - 웹사이트 서비스 정보 수집 도구 (28) | 2023.03.17 |
|---|---|
| wpscan - wordpress 워드프레스 취약점 정보 수집 도구 (41) | 2023.03.03 |
| nikto - 웹서버 취약점 점검 도구 (0) | 2022.12.21 |
| DirBuster - 디렉토리 구조 파악 도구 (0) | 2022.12.16 |
| metagoofil / goofile - 검색을 통한 문서 수집 도구 (0) | 2022.12.12 |