Перевірка сайту на вразливості: nuclei, nikto, wpscan

Перевірити власний сайт на відомі вразливості можна самостійно, не чекаючи інциденту. Для цього є безплатні сканери: nuclei працює за шаблонами, nikto перевіряє вебсервер, wpscan розбирає WordPress. Стаття описує, як запускати їх проти своїх ресурсів, як читати результат і чим сканування відрізняється від пентесту.

Межі: лише власні ресурси

Сканери надсилають серверу сотні запитів, частина яких виглядає як спроба атаки. Запускайте їх лише проти сайтів, якими володієте або на перевірку яких маєте письмовий дозвіл. Сканування чужого ресурсу без згоди може порушувати закон і правила хостинг-провайдера. Якщо сайт розміщено на спільному сервері, попередьте підтримку та оберіть час із низьким навантаженням. Найкращий варіант — перевіряти тестову копію (staging), а не робочий сайт.

Який інструмент що перевіряє

Інструменти доповнюють один одного. Жоден з них не замінює решту, а результат кожного треба перевіряти вручну.

nuclei: перевірка за шаблонами

Nuclei запускає набори YAML-шаблонів, кожен із яких описує одну перевірку. Перед початком оновіть шаблони, потім обмежте серйозність і швидкість, щоб не перевантажити сервер. Ключ -o зберігає результат у файл.

nuclei -ut
nuclei -u https://example.com -severity medium,high,critical -o nuclei.txt
nuclei -u https://example.com -rate-limit 10

nikto і wpscan

Nikto шукає проблеми на рівні вебсервера: старі версії, забуті файли, каталоги з лістингом, відсутність захисних заголовків. Він галасливий і дає багато хибних спрацювань, зате швидко показує очевидні недоліки.

apt install -y nikto
nikto -h https://example.com -o nikto.txt

Wpscan створено для WordPress. Параметр --enumerate з набором vp, vt і u перелічує вразливі плагіни, теми та користувачів. Щоб отримати відомості про вразливості, потрібен безплатний токен API проєкту: без нього утиліта покаже лише версії компонентів.

gem install wpscan
wpscan --url https://example.com --enumerate vp,vt,u
wpscan --url https://example.com --api-token TOKEN

Як читати звіт

Знахідка сканера — це гіпотеза, а не вирок. Перш ніж щось змінювати, перевірте її вручну.

• Рівень info означає відомості про систему, а не вразливість; спершу розбирайте high і critical.
• Хибні спрацювання трапляються часто: перевірте версію й умови, за яких проблема відтворюється.
• Відкрита версія сервера чи плагіна сама по собі не злам, але полегшує добір атаки.
• Після виправлення повторіть скан і переконайтеся, що знахідка зникла.

Скан і пентест: у чому різниця

Сканер автоматично зіставляє ваш сайт із базою відомих проблем. Пентест — робота фахівця, який за узгодженим планом перевіряє логіку застосунку: права доступу, обхід оплати, ланцюжки з кількох дрібних помилок. Сканер не знайде того, чого немає в шаблонах, і не зрозуміє бізнес-логіку. Скан годиться для регулярної гігієни, пентест — для важливих систем.

За знайденим діяйте по порядку. Для залежностей застосунку є перевірка зі статті Аудит залежностей: npm audit і composer audit, для сервера — чекліст безпеки Linux-сервера, для сайту на WordPress — захист WordPress на сервері. Налаштування вебсервера описано в матеріалі Hardening Nginx.

Часті питання

Чи законно запускати сканер проти свого сайту?

Перевірка власного ресурсу законна, але й тут діють правила майданчика. Якщо сайт стоїть на спільному сервері або за захисним сервісом, попередьте підтримку: часті запити можуть спрацювати як атака. Чужі сайти без письмового дозволу власника перевіряти не можна за жодних обставин.

Чи можна сканувати робочий сайт?

Можна, але обережно: обмежте швидкість, оберіть час із малим навантаженням і зробіть резервну копію. Надійніше перевірити тестову копію, що повторює робочу. Так сканер не створить навантаження на відвідувачів, а сумнівні перевірки не зачеплять реальні дані.

Що робити, якщо сканер знайшов багато проблем?

Розберіть їх за серйозністю: спершу критичні та високі, потім решту. Для кожної знахідки перевірте, чи не хибна вона, і знайдіть виправлення: оновлення, налаштування або видалення непотрібного компонента. Після правок повторіть сканування та збережіть звіти, щоб бачити динаміку.

Чи замінює сканування перевірку фахівця?

Ні. Сканер швидко знаходить відомі проблеми, але не розуміє логіку вашого застосунку й не виявить нових вразливостей. Для регулярної перевірки він зручний, а для критичних систем додатково потрібен ручний аудит або узгоджений пентест, який проводить досвідчений фахівець.