image

Zoekmachine Punkspider scant miljoenen websites op kwetsbaarheden

donderdag 29 juli 2021, 15:40 door Redactie, 12 reacties

Volgende maand wordt tijdens de Defcon-hackerconferentie de zoekmachine Punkspider opnieuw gelanceerd en zal vervolgens dagelijks miljoenen websites op kwetsbaarheden scannen. De resultaten zijn vervolgens via de zoekmachine te vinden, wat volgens de ontwikkelaars voor een veiliger web moet zorgen.

Punkspider controleert websites op verschillende soorten kwetsbaarheden, waaronder SQL-injection, path traversal en cross-site scripting. Naast de zoekmachine is er ook een Chrome-extensie van Punkspider beschikbaar waarmee gebruikers kunnen zien of bezochte websites kwetsbaarheden bevatten.

Punkspider wordt aangeboden door securitybedrijf Qomplx. Volgens Jason Crabtree, ceo van het bedrijf, kan straks iedereen de vraag beantwoorden hoe veilig de websites zijn die ze bezoeken. Daarnaast dient Punkspider als graadmeter, aangezien de zoekmachine alleen veelvoorkomende kwetsbaarheden detecteert. "Wanneer webmasters de basis niet op orde hebben, is het onwaarschijnlijk dat ze grotere kwetsbaarheden wel verhelpen", stelt de ceo.

Reacties (12)
29-07-2021, 16:06 door Anoniem
Leuk, niemand kent dit en zal er geen gebruik van maken.

Bedankt voor de info, maar heel weinig mensen zullen hier een reactie geven.
29-07-2021, 16:11 door Anoniem
"...kan straks iedereen de vraag beantwoorden hoe veilig de websites zijn die ze bezoeken."

Lees ik hier dat een potentiele cyberboef alleen maar naar Punkspider hoeft te gaan om daar het lijstje op te halen van kwetsbare sites?
29-07-2021, 16:55 door Anoniem
Het geeft ook een trip rapport over hoeveel sites je bezocht hebt met SQLI, TRAV, XPATH en/of XSS kwetsbaarheden.

Maar het geeft bijvoorbeeld niet aan dat er widget.trustpilot.com op de site staat en widget.intercom.io.

En niet, dat blokkeerders 27% tracking en 18% advertenties hebben geblokkeerd.
Niet dat er directive en object errors staan bij CSP, niet wat de problemen zijn met d1lr4y73.neawid.cloudfront
en dat er getrackt wordt via Google GTM en Google Analytics.

Het geeft direct een overzicht, maar minder als de publieke data via shodan.io bijvoorbeeld, niettemin handig,

luntrus
29-07-2021, 18:09 door Anoniem
Door Anoniem: "...kan straks iedereen de vraag beantwoorden hoe veilig de websites zijn die ze bezoeken."

Lees ik hier dat een potentiele cyberboef alleen maar naar Punkspider hoeft te gaan om daar het lijstje op te halen van kwetsbare sites?

Klopt helemaal.
Als dat de eigenaar van de site niet motiveert om de crap-implementatie aan te passen. .....
29-07-2021, 20:43 door Anoniem
Lijkt mij computervredebreuk? Hoe zit dat @Arnoud Engelfriet? Dit mag toch niet zonder expliciet toestemming te geven voor de scan?
30-07-2021, 01:58 door botbot
Door Anoniem: Leuk, niemand kent dit en zal er geen gebruik van maken.

Bedankt voor de info, maar heel weinig mensen zullen hier een reactie geven.

Raar, het eerste wat ik deed wat even kijken of het al online was. Jammergenoeg niet, ik had het graag willen gebruiken. Nu al. Naja nog maar even wachten tot het weer draait.
30-07-2021, 05:42 door Anoniem
Dit lijkt mij een bijzonder slecht idee. Shodan heb ik ook mijn bedenkingen bij. De kennis benodigd voor cybercrime neemt al steeds meer af, dus zaken nemen toe. Opsporingscapacitiet en middelen zijn beperkt. De eindgebruiker is de dupe omdat schade doorberekend zal worden, hun data op straat beland of een dienst niet langer beschikbaar is door faillisement.

Straks zeker weer huilen dat er opeens allemaal ransomware infecties zijn. Beheerders gaan hier echt niet opeens beter van werken, zeker niet in de derdewereld. Daar zit je dan straks met een enorm botnet probleem.
30-07-2021, 08:10 door Anoniem
Door Anoniem: Lijkt mij computervredebreuk? Hoe zit dat @Arnoud Engelfriet? Dit mag toch niet zonder expliciet toestemming te geven voor de scan?
Zie ook dit artiekl op Wired: https://www.wired.com/story/punkspider-web-site-vulnerabilities/
30-07-2021, 09:49 door Anoniem
Huilie, huilie en paard achter de wagen spannen.
30-07-2021, 11:53 door Anoniem
Waar reactant van 5:42 voor pleit is voortzetten van het "security through obscurity" principe van beveiliging.
Wat niet weet wat niet deert en hopen dat jouw slecht en onveilig ontworpen site niet gescand wordt.
Onwetendheid is een zegen volgens deze reactant.

Door allerlei basale onveiligheid in je website te laten zitten, breng je niet alleen jezelf in gevaar, maar ook anderen.
Door website developers niet voldoende te trainen op het voorkomen van deze kwetsbaarheden, gaat het juist fout.

We hebben het te danken aan grote partijen, die bepaalde kennis juist weg willen houden zodat ze technologisch en vooral via ad- en tracking voordeel kunnen blijven houden. Mensen moeten vooral niet leren hoe hun verdienmodel te frustreren.

Dan scannen verbieden onder het mom van computervredebreuk is een weg die nooit tot oplossingen van het probleem leidt.

De onveilige bibliotheken worden niet afgevoerd, de CMS software wordt niet van updates en patches voorzien.
Geen juiste beveiliging van website naar achterliggende webserver, CSP, soms http downgrade aanvallen mogelijk, SSL issues enz. enz.

Moeten we scannen verbieden, bijvoorbeeld op webhint, omdat er te veel domme arrogante lieden op de werkvloer rondlopen, getrainde aapjes zogezegd. Neem wat extra error-hunters in dienst met oog voor de website security noden.

De cybercrimneel komt toch wel aan z'n informatie. Beter ware het, dat de manager eens oog kreeg voor een beter beveiligingsniveau, anders betalen we met z'n allen de prijs en steeds opnieuw, doordat altijd veiligheid sluitpost op de begroting blijft, want de rekening voor ons allen zit altijd onder in de zak.

#sockpuppet
30-07-2021, 13:02 door Anoniem
De volgende extenties zijn niet lager in overeenstemming met de policies van de Chrome Webstore:
Cookie Cruncher, Javascript Errors Notifier en Vulners Web Scanner.

Doorlopen mensen, niets te zien hier.

Willekeurig voorbeeld van een of andere website:
SyntaxError: Unexpected identifier
eval ()()
:4:80()
Object.t [as F_c] (:3:191)()
Object.E_u (:4:244)()
eval (eval at exec_fn (:2:115), :67:477)()
Object.create (eval at exec_fn (:2:115), :69:193)()
c (eval at exec_fn (:2:115), :7:231)()
:4:80()
i (eval at exec_fn (:2:115), :5:165)()
eval (eval at exec_fn (:2:115), :5:292)()

SyntaxError: Invalid regular expression flags
eval ()()
:4:80()
Object.t [as F_c] (:3:191)()
Object.E_u (:4:244)()
eval (eval at exec_fn (:2:115), :67:477)()
Object.create (eval at exec_fn (:2:115), :69:193)()
c (eval at exec_fn (:2:115), :7:231)()
:4:80()
i (eval at exec_fn (:2:115), :5:165)()
eval (eval at exec_fn (:2:115), :5:292)()

RangeError: Maximum call stack size exceeded
HTMLDocument.value (:38:22)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()
HTMLDocument.value (:39:21)()

#sockpuppet
30-07-2021, 23:18 door Anoniem
Zelf geeft punkspider wel het goede voorbeeld, zie:
https://awesometechstack.com/analysis/website/punkspider.io/?protocol=https%3A

luntrus
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.