droopescan 1.33.7 released

Hi there,

A new version of droopescan has been released, which increases the version’s patch digit from 1.33.6 to 1.33.7. With this, droopescan officially reaches elite status. This is a minor increase to update fingerprint databases for all supported CMS’. No serious vulnerabilities have come out this round, although WordPress has patched a Cross Site Scripting vulnerability.

For those that are not aware, a large number of improvements have been implemented between 1.0 and 1.33.7, almost too many to count. A few highlights are:

  • Support for CMS type autodetection. This allows you to specify a list of URLs and dscan will automatically determine what CMS it is and perform the usual version and plugin enumeration. Performance is pretty great, and I’ve successfully version scanned several million hosts in three days time.
  • Allow for resuming of mass scans with the –resume flag.
  • Several performance improvements and tweaks.
  • Preliminary support for WordPress and Joomla.

droopescan development continues on, and exciting things for the future include tools that will make updating the fingerprint even easier (for me, as I am very lazy), support for other CMSs, and the release of version 2.0 which will tidy up JSON output.

Ta,
Pedro

Actualización de seguridad para Drupal.

Hola a todos,

Salió una nueva versión de Drupal, que contiene parches de seguridad. Resuelve problemas de XSS, inyección SQL y CSRF, pero nada super grave que yo pueda ver.

Mas detalles acá: https://www.drupal.org/SA-CORE-2015-003

Pronto voy a sacar una versión nueva de droopescan.

Un abrazo,
Pedro

droopescan: escaneo de CMS

¡Hola a todos!

Tengo mucha información para compartir últimamente: he aprendido mucho sobre CMS y como determinar sus versiones desde la perspectiva de un atacante sin autenticación: en particular, desarrollé una herramienta que te permite hacer exactamente eso.

La herramienta se llama droopescan, y el código fuente está aca:

https://github.com/droope/droopescan

Si lo quieren instalar en un sistema debian, o en un sistema que tenga el manejador de paquetes de Python (PIP), lo pueden instalar con los siguientes comandos:


apt-get install python-pip
pip install droopescan

Pueden encontrar ejemplos, y demás en el README de la aplicación, en github. Planes a futuro para la aplicación son el agregar la posibilidad de escanear WordPress y quizás Drupal. Para mi investigación este año, voy a realizar un escaneo a nivel mundial de instalaciones de Drupal, WordPress, Joomla y SilverStripe.

El año pasado realicé un escaneo de Drupal y SilverStripe en Nueva Zelanda, la presentación, en inglés, está acá:

https://www.owasp.org/images/2/23/CMS_HELL.pptx