nikto hatamı nasıl çözerim

Yeni_sistem · 23 Eki 2025

Start Time: 2025-10-23 11:21:42 (GMT0)
---------------------------------------------------------------------------
+ Server: Microsoft-IIS/10.0
+ Retrieved x-powered-by header: ASP.NET
+ The anti-clickjacking X-Frame-Options header is not present.
+ Root page / redirects to:
+ Retrieved x-aspnet-version header: 4.0.30319
+ No CGI Directories found (use '-C all' to force check all possible dirs)
+ Server leaks inodes via ETags, header found with file /, fields: 0x8820f1dd12bd91:0
+ Server banner has changed from 'Microsoft-IIS/10.0' to 'Microsoft-HTTPAPI/2.0' which may suggest a WAF, load balancer or proxy is in place
+ OSVDB-27071: /phpimageview.php?***=javascript:alert(8754): PHP Image View 1.0 is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ OSVDB-3931: /myphpnuke/links.php?op=search&query=[script]alert('Vulnerable);[/script]?query=: myphpnuke is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ OSVDB-3931: /myphpnuke/links.php?op=MostPopular&ratenum=[script]alert(document.cookie);[/script]&ratetype=percent: myphpnuke is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ /modules.php?op=modload&name=FAQ&file=index&myfaq=yes&id_cat=1&categories=%3Cimg%20src=javascript:alert(9456);%3E&parent_id=0: Post Nuke 0.7.2.3-Phoenix is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ /modules.php?letter=%22%3E%3Cimg%20src=javascript:alert(document.cookie);%3E&op=modload&name=Members_List&file=index: Post Nuke 0.7.2.3-Phoenix is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ OSVDB-4598: /members.asp?SF=%22;}alert(223344);function%20x(){v%20=%22: Web Wiz Forums ver. 7.01 and below is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ OSVDB-2946: /forum_members.asp?find=%22;}alert(9823);function%20x(){v%20=%22: Web Wiz Forums ver. 7.01 and below is vulnerable to Cross Site Scripting (XSS). 2000 CERT Advisories.
+ 6544 items checked: 0 error(s) and 11 item(s) reported on remote host
+ End Time: 2025-10-23 11:30:26 (GMT0) (524 seconds)
---------------------------------------------------------------------------
+ 1 host(s) tested

2.ci adim ne olmalı?

fazeL · 25 Eki 2025

Elinizdeki Nikto çıktısına göre ikinci adım doğrulama ve önceliklendirme olmalı.

False positive (yanlış alarm) kontrolü: Nikto bulgularını doğrudan sömürgeleştirici (exploit) adımlar olmadan manuel olarak doğrulayın. Örnek: XSS raporu varsa, ilgili parametreye zararsız bir test girdisi gönderip, uygulamanın çıktısında bunun HTML/JS olarak render edilip edilmediğine bakın.

Önceliklendirme: Çalıştırdığınız uygulamanın kritikliği internete açık mı, kullanıcı verisi işliyor mu ve bulgunun türü (XSS, bilgi sızıntısı, eski yazılım) temelinde puan verin. RCE/SQLi gibi yüksek riskler en üstte; bilgi sızıntıları orta; bazı içerik başlıkları düşük.

A. “The anti-clickjacking X-Frame-Options header is not present.”

Yapılacak: Web sunucusu veya uygulama katmanında X-Frame-Options: DENY veya SAMEORIGIN başlığını ekleyin. Alternatif/ek olarak Content-Security-Policy: frame-ancestors 'self' kullanın.

Nasıl: IIS için web.config içinde <system.webServer><httpProtocol><customHeaders> kısmına ekleyin (örn. X-Frame-Options).

B. “Server banner changed / Server leaks …” ve

Yapılacak: Bilgi sızıntısını azaltın gereksiz sunucu başlıklarını kaldırın veya maskeleyin (Server, X-Powered-By). Ancak hata mesajlarını da kullanıcıya ayrıntılı vermeyin.

Nasıl: IIS konfigürasyonunda custom headers ile X-Powered-By kaldırın; Server başlığını gizlemek için reverse proxy, WAF veya URL Rewrite (outbound rule) kullanın. Ayrıca uygulama hata sayfalarını kullanıcıya detaylı gösterme (detailed errors) kapatın.

C. “Server leaks inodes via ETags”

Yapılacak: ETag’in içinde dosya inode/mtime gibi bilgilendirici parçalar varsa bunları kaldırın. Bu, sunucu parça eşleştirmesi/parm. fingerprinting’ini azaltır.

Nasıl: Apache’de FileETag None kullanılır. IIS’de ETag kaldırmak için outbound rule ile ETag başlığını temizleyin veya proxy katmanında bunu kaldırın.

D. Eski/zararlı uygulama bulguları (Post Nuke, myphpnuke, Web Wiz Forums, PHP Image View vb.)

Yapılacak: Bu tür uygulamalar genelde zaten bilinen XSS/CSRF zafiyetleri içerir.

Eğer bu yazılımlar aktif olarak kullanılmıyorsa kaldırın.
Eğer kullanılıyorsa immediately desteklenen en son sürüme güncelleyin veya vendor düzeltme uygulayın.
Kod tabanına erişiminiz varsa, input sanitization ve output encoding uygulayın (her user-supplied veriyi HTML encode edin).
Eğer üçüncü parti eklenti/temalar kullanıyorsanız onlar da güncel olmalı veya devre dışı bırakılmalı.

E. Genel web uygulama sert başlıkları

Ekleyin:

X-Content-Type-Options: nosniff
Referrer-Policy: no-referrer-when-downgrade (veya daha sıkı bir politika)
Strict-Transport-Security (HTTPS kullanıyorsanız)
Content-Security-Policy (XSS riskini azaltmaya yardımcı olur)

Yama / Güncelleme: OS, IIS ve uygulama yazılımlarını en kısa sürede güncelleyin.
Yedekleme & rollback planı: Değişikliklerden önce yedek alın; sorun olursa hızlı geri dönüş planı olsun.
WAF kullanımı: Trafiği filtrelemek için WAF kural setleri ekleyin (modsecurity, bulut WAF vb.). Bu, zero-day için geçici koruma sağlar.
Giriş/Log kontrolü: Potansiyel istismar girişimleri var mı diye IIS/loglar, uygulama logları ve SIEM’i kontrol edin.
Güvenlik testi derinleştirme: Nikto sonrası OWASP ZAP, Burp Suite ile daha detaylı dinamik testler; Nmap ile servis keşfi; statik kod analizi (kaynak kodu varsa).
Retest: Düzeltmeler sonrası Nikto’yu yeniden çalıştırın ve değişikliklerin etkisini doğrulayın.

Nikto genelde bilgi toplama amaçlı geniş test yapar ve bazı bulgular yanlış pozitif olabilir. Yapılması gerekenler:
1. Nikto çıktısındaki URL’leri manuel ve güvenli şekilde ziyaret ederek veya güvenli test parametreleri göndererek tekrar kontrol edin.
2. Daha sonra ZAP veya Burp ile aynı endpoint’e odaklanıp aynı yükü test edin bunlar daha ayrıntılı kanıt sunar.
3. Eğer tamemen yanlışsa, uygulama mantığını inceleyin ve loglardan gelen isteklere bakın; Nikto’nun tespit ettiği dosya/URL gerçekten var mı yok mu doğrulayın.

Yeni_sistem · 25 Eki 2025

fazeL' Alıntı:
Elinizdeki Nikto çıktısına göre ikinci adım doğrulama ve önceliklendirme olmalı.

False positive (yanlış alarm) kontrolü: Nikto bulgularını doğrudan sömürgeleştirici (exploit) adımlar olmadan manuel olarak doğrulayın. Örnek: XSS raporu varsa, ilgili parametreye zararsız bir test girdisi gönderip, uygulamanın çıktısında bunun HTML/JS olarak render edilip edilmediğine bakın.

Önceliklendirme: Çalıştırdığınız uygulamanın kritikliği internete açık mı, kullanıcı verisi işliyor mu ve bulgunun türü (XSS, bilgi sızıntısı, eski yazılım) temelinde puan verin. RCE/SQLi gibi yüksek riskler en üstte; bilgi sızıntıları orta; bazı içerik başlıkları düşük.

A. “The anti-clickjacking X-Frame-Options header is not present.”

Yapılacak: Web sunucusu veya uygulama katmanında X-Frame-Options: DENY veya SAMEORIGIN başlığını ekleyin. Alternatif/ek olarak Content-Security-Policy: frame-ancestors 'self' kullanın.

Nasıl: IIS için web.config içinde <system.webServer><httpProtocol><customHeaders> kısmına ekleyin (örn. X-Frame-Options).

B. “Server banner changed / Server leaks …” ve

Yapılacak: Bilgi sızıntısını azaltın gereksiz sunucu başlıklarını kaldırın veya maskeleyin (Server, X-Powered-By). Ancak hata mesajlarını da kullanıcıya ayrıntılı vermeyin.

Nasıl: IIS konfigürasyonunda custom headers ile X-Powered-By kaldırın; Server başlığını gizlemek için reverse proxy, WAF veya URL Rewrite (outbound rule) kullanın. Ayrıca uygulama hata sayfalarını kullanıcıya detaylı gösterme (detailed errors) kapatın.

C. “Server leaks inodes via ETags”

Yapılacak: ETag’in içinde dosya inode/mtime gibi bilgilendirici parçalar varsa bunları kaldırın. Bu, sunucu parça eşleştirmesi/parm. fingerprinting’ini azaltır.

Nasıl: Apache’de FileETag None kullanılır. IIS’de ETag kaldırmak için outbound rule ile ETag başlığını temizleyin veya proxy katmanında bunu kaldırın.

D. Eski/zararlı uygulama bulguları (Post Nuke, myphpnuke, Web Wiz Forums, PHP Image View vb.)

Yapılacak: Bu tür uygulamalar genelde zaten bilinen XSS/CSRF zafiyetleri içerir.

Eğer bu yazılımlar aktif olarak kullanılmıyorsa kaldırın.
Eğer kullanılıyorsa immediately desteklenen en son sürüme güncelleyin veya vendor düzeltme uygulayın.
Kod tabanına erişiminiz varsa, input sanitization ve output encoding uygulayın (her user-supplied veriyi HTML encode edin).
Eğer üçüncü parti eklenti/temalar kullanıyorsanız onlar da güncel olmalı veya devre dışı bırakılmalı.

E. Genel web uygulama sert başlıkları

Ekleyin:

X-Content-Type-Options: nosniff

Referrer-Policy: no-referrer-when-downgrade (veya daha sıkı bir politika)

Strict-Transport-Security (HTTPS kullanıyorsanız)

Content-Security-Policy (XSS riskini azaltmaya yardımcı olur)

Yama / Güncelleme: OS, IIS ve uygulama yazılımlarını en kısa sürede güncelleyin.

Yedekleme & rollback planı: Değişikliklerden önce yedek alın; sorun olursa hızlı geri dönüş planı olsun.

WAF kullanımı: Trafiği filtrelemek için WAF kural setleri ekleyin (modsecurity, bulut WAF vb.). Bu, zero-day için geçici koruma sağlar.

Giriş/Log kontrolü: Potansiyel istismar girişimleri var mı diye IIS/loglar, uygulama logları ve SIEM’i kontrol edin.

Güvenlik testi derinleştirme: Nikto sonrası OWASP ZAP, Burp Suite ile daha detaylı dinamik testler; Nmap ile servis keşfi; statik kod analizi (kaynak kodu varsa).

Retest: Düzeltmeler sonrası Nikto’yu yeniden çalıştırın ve değişikliklerin etkisini doğrulayın.

Nikto genelde bilgi toplama amaçlı geniş test yapar ve bazı bulgular yanlış pozitif olabilir. Yapılması gerekenler:

Nikto çıktısındaki URL’leri manuel ve güvenli şekilde ziyaret ederek veya güvenli test parametreleri göndererek tekrar kontrol edin.

Daha sonra ZAP veya Burp ile aynı endpoint’e odaklanıp aynı yükü test edin bunlar daha ayrıntılı kanıt sunar.

Eğer tamemen yanlışsa, uygulama mantığını inceleyin ve loglardan gelen isteklere bakın; Nikto’nun tespit ettiği dosya/URL gerçekten var mı yok mu doğrulayın.

Peki niktoya gore saldırı olarak hangi araç ve yöntemi uygulamaliyim

nikto hatamı nasıl çözerim

Yeni_sistem

Üye

fazeL

Uzman üye

Yeni_sistem

Üye

Sosyal medya sayfalarımız