W3AFRemote r01 Liberado…

Antes que nada, explicaré un poco como ha surgido esto y para que sirve, como seguramente muchos de vosotros ya sabéis  W3AF es una potente herramienta que permite realizar actividades de pentesting sobre aplicaciones web y permite detectar y explotar vulnerabilidades utilizando uno o varios de los plugins incluidos en W3AF, los cuales se encuentran correctamente ordenados por familias, las que a su vez, representan una «fase» del procedimiento de auditoria y ataque, aunque esta muy bien, para desarrolladores (como yo) es difícil de integrar en aplicaciones existentes o que se encuentran en estado de desarrollo, en mi caso concreto, me encontraba desarrollando DENRIT (otra herramienta que espero liberar próximamente y de la que hablaré en una próxima entrada) y me encontraba con la necesidad de interactuar desde mi aplicación con W3AF, dado que W3AF es una aplicación que se ejecuta en modo «stand-alone» y no cuenta con un servicio que permita a otros desarrolladores interactuar con el framework de forma directa (tal como se suele hacer con Metasploit Framework con su servicio MSFRPCD) me encontraba con esta gran dificultad, querer integrar la potencia de W3AF en mi aplicación, pero no contar con una API o una interfaz que me permitiera enviar comandos al framework y dejar que esté «Haga lo suyo». Dado que supongo, que muchos otros desarolladores se han encontrado en una situación similar, me decidí por escribir un servicio XML-RPC para interactuar con las potencialidades de W3AF y es así como en un derroche de creatividad y originalidad, se me ocurrió nombrar a esta herramienta W3AFRemote… Si, adelante, reíros! XD

Toda esta historia comenzó el año pasado, aproximadamente en el mes de abril y después de estar cerca de un par de meses conociendo el funcionamiento del framework, escribiendo varias rutinas desde Python e intercambiando correos con Andres Riancho (creador de W3AF), me encontré con que la herramienta estaba prácticamente lista (salvo algunos retoques finales), de hecho, en la medida que iba escribiendo W3AFRemote, lo iba integrando en DENRIT para probar que todo iba bien, que las respuestas siguieran el esquema XSD definido, que la información retornada era correcta, encontrando errores que iban y venían en W3AF en cada nueva revisión de SVN, etc,etc,etc… Sin embargo, por aquel entonces, me llegarón «de golpe» muchas actividades, tanto académicas como laborales que requerían totalmente mi atención y por ese motivo, el desarrollo de ambas herramientas, que llevaba a un muy buen ritmo, lo tuve que detener por un poco más de 6 meses.

A comienzos de este año retome nuevamente el desarrollo de todo esto que se había quedado «a medias» y comencé nuevamente  a realizar algunos ajustes que hacían falta. Esta semana me he sentido cómodo con lo que se encuentra desarrollado hasta el momento y aunque aun me quedan algunos detalles que se pueden mejorar, así como realizar muchas más pruebas, he decidido «liberar» la primera versión de esta herramienta, con el fin de que otros desarrolladores puedan utilizarla y probarla desde sus propios entornos. A continuación indicaré brevemente los requerimientos necesarios para utilizar W3AFRemote y las características incluidas:

Las pruebas las he realizado enteramente en un entorno Linux (Debian), sin embargo estoy seguro que funcionará exactamente igual en entornos Windows ya que las únicas dependencias que se deben cubrir es tener instalado Python versión 2.6 o superior y W3AF. Ademas, si se necesita utilizar desde una máquina diferente a la local, en cualquier punto de la red, es necesario permitir que el trafico en el puerto especificado por el servidor XML-RPC no se encuentre filtrado.

El servidor XML-RPC es simplemente un script escrito en Python y que se ejecuta directamente desde linea de comandos, en donde se incluyen algunas opciones que permiten definir el comportamiento del servidor (puerto, nombre de usuario, password, directorio de instalación de W3AF) etc. Una vez que se arranca el servidor, recibirá peticiones de clientes, que deben conocer los diferentes métodos disponibles en el servidor (aquellos que hayan trabajado con servicios web REST, por ejemplo, entenderán lo que quiero decir, ya que es bastante similar). El servidor recibirá el nombre de la función solicitada por el cliente y sus correspondientes parámetros, con esa información, realiza la interacción con la instancia de W3AF la que se ha indicado previamente en el directorio de instalación de W3AF. Finalmente, cuando la instancia retorna una respuesta a la petición, se procede a generar una respuesta XML siguiendo el esquema XSD.

El cliente recibirá como respuesta, un contenido XML del que  evidentemente debe conocer el XSD para poder parsear el contenido (dicho XSD se encuentra en la raíz del directorio de instalación de W3AFRemote).