testssl - מקוון בענן

תָכְנִית:

שֵׁם

testssl - כלי שורת פקודה לבדיקת צפני TLS/SSL, פרוטוקולים ופגמים קריפטוגרפיים

תיאור

testssl הוא כלי חינמי של שורת פקודה אשר בודק שירות של שרת בכל יציאה עבור
תמיכה בצפני TLS/SSL, פרוטוקולים וכן פגמים קריפטוגרפיים עדכניים ועוד.

תכונות עיקריות:

* פלט ברור: אתה יכול לדעת בקלות אם משהו טוב או רע

* קלות התקנה: זה עובד עבור Linux, Darwin, FreeBSD ו-MSYS2/Cygwin מתוך
קופסא: אין צורך להתקין או להגדיר משהו, ללא אבני חן, CPAN, pip או משהו דומה.

* גמישות: אתה יכול לבדוק כל שירות SSL/TLS ו-STARTTLS, לא רק שרתי אינטרנט
בנמל 443

* ארגז כלים: מספר אפשרויות שורת פקודה עוזרות לך להריץ את הבדיקה שלך ולהגדיר את שלך
תפוקה

* אמינות: תכונות נבדקות ביסודיות

* מילוליות: אם לא ניתן לבצע בדיקה מסוימת בגלל יכולת חסרה
בצד הלקוח שלך, תקבל אזהרה

* פרטיות: רק אתה רואה את התוצאה, לא צד שלישי

* חופש: זה 100% קוד פתוח. אתה יכול להסתכל על הקוד, לראות מה קורה ואתה
יכול לשנות את זה. לעזאזל, אפילו הפיתוח פתוח (github)

-h, - עזרה
על מה אתה מסתכל

-b, --דֶגֶל
מציג באנר + גרסה של testssl

-v, --גִרְסָה
זהה לקודם

-V, --מְקוֹמִי
יפה להדפיס את כל הצפנים המקומיים

-V, --מְקוֹמִי
אשר צפנים מקומיים עם פנויים? (אם תבנית לא מספר: מילה
התאמה)

testssl URI ("testssl URI" עושה הכל מלבד -E)

-e, --כל צופן
בודק כל צופן מקומי מרחוק

-E, --צופן-לפרוטו
בודק את אלה לפי פרוטוקול

-f, --צפנים
בודק חבילות צופן נפוצות

-p, --פרוטוקולים
בודק פרוטוקולי TLS/SSL

-S, --server_defaults
מציג את ברירת המחדל של השרתים ואת פרטי האישור

-P, --הַעֲדָפָה
מציג את בחירת השרתים: פרוטוקול+צופן

-y, --spdy, --npn
בודק SPDY/NPN

-x, - צופן בודד בדיקות תואמות של צפנים
(אם לא מספר: התאמת מילה)

-U, --פָּגִיעַ
בודק את כל הפגיעות

-B, --דימום לב
בדיקות לפגיעות לדימום לב

-I, --ccs, --ccs-injection
בדיקות לאיתור פגיעות של הזרקת CCS

-R, - משא ומתן מחודש
בדיקות לאיתור פגיעות של משא ומתן מחודש

-C, --דְחִיסָה, --פֶּשַׁע
בדיקות לאיתור פגיעות CRIME

-T, --הֲפָרָה
בדיקות לאיתור פגיעות BREACH

-O, --פּוּדֵל
בדיקות לאיתור פגיעות POODLE (SSL).

-Z, --tls-fallback
בודק הפחתה של TLS_FALLBACK_SCSV

-F, --מְשׁוּנֶה
בדיקות לאיתור פגיעות FREAK

-A, --חַיָה
בדיקות לאיתור פגיעות BEAST

-J, --פְּקָק
בדיקות לאיתור פגיעות LOGJAM

-s, --פפס, --fs,--נסא
בודק (מושלם) הגדרות סודיות קדימה

-4, --rc4, --אפלבאום
אילו צפני RC4 מוצעים?

-H, --כּוֹתֶרֶת, --כותרות
בודק HSTS, HPKP, באנר שרת/אפליקציה, כותרות אבטחה, קובץ Cookie, Proxy הפוך, IPv4
כתובת

קריאות מיוחדות:

-t, --starttls
מבצע ברירת מחדל נגד STARTTLS מאופשר

--xmpphost
עבור XMPP מאופשר STARTTLS הוא מספק את זרם ה-XML לדומיין-'' -- לפעמים
נחוץ

--mx
בודק רשומות MX מעדיפות גבוהה לנמוכה (STARTTLS, יציאה 25)

--ip
א) בודק את המסופק במקום לפתור מארח(ים) ב-URI b) arg "one"
פירושו: פשוט בדוק את החזרות ה-DNS הראשונות (שימושי עבור מספר כתובות IP)

--קוֹבֶץ
אפשרות בדיקת המונים: פשוט הכנס מספר שורות פקודה testssl , אחד
שורה לכל מופע. הערות באמצעות # מותרות, EOF מאותת סוף של .

פרמטרים חובה חלקית:

מארח URI|host:port|URL|URL:port (הנחה היא יציאה 443 אלא אם צוין אחרת)

דפוס
תבנית מילת התעלמות של hexcode צופן או כל מחרוזת אחרת בשם, kx
או ביטים

פרוטוקול
הוא אחד מ-ftp,smtp,pop3,imap,xmpp,telnet,ldap (לשני האחרונים אתה צריך למשל את
מסופק openssl)

אפשרויות כוונון:

--בהנחה-http
אם בדיקת הפרוטוקול נכשל, הוא מניח פרוטוקול HTTP ואוכף בדיקות HTTP

--ssl-יליד
חזרה לבדיקות עם OpenSSL שבהן משתמשים בשקעים בדרך כלל

--openssl
השתמש בבינארי openssl זה (ברירת מחדל: חפש ב-$PATH, $RUN_DIR של testssl

--פרוקסי :
להתחבר באמצעות פרוקסי HTTP שצוין

--מִתגַנֵב
תהיה פחות מילולית לגבי כותרות מפנה

--שֶׁקֶט
אל תוציא את הבאנר. בכך אתה מאשר את תנאי השימוש בדרך כלל
מופיע בבאנר

--רָחָב פלט רחב לבדיקות כמו RC4, BEAST. PFS גם עם hexcode, kx, חוזק, RFC
שם

--הצג-כל אחד
עבור פלטים רחבים: הצג את כל הצפנים שנבדקו -- לא רק שהצליחו

--אזהרות
אזהרת "אצווה" אינה ממתינה ללחיצת מקש, "כבוי" או "שקר" על דילוג

--צֶבַע <0|1|2>
0: ללא קודי בריחה או קודים אחרים, 1: קודי בריחה שחורים, 2: צבע (ברירת מחדל)

--לנפות <0-6>
1: פלט מסך רגיל אך נפה באגים בפלט בקבצים זמניים. 2-6: ראה שורה ~105

ניתן לקרוא לכל האפשרויות הדורשות ערך עם '=' (למשל testssl -t=SMTP --רָחָב
--openssl=/usr/bin/openssl . הוא תמיד הפרמטר האחרון.

צריך פלט HTML? פשוט השתמש ב-"aha" (מתאם HTML: github.com/theZiz/aha) כמו

"testssl | aha >output.html"

השתמש ב-testssl באינטרנט באמצעות שירותי onworks.net