DAVTest

Descripción del contenido.

DavTest verifica si webdav se encuentra activo en los servidores para subir archivos ejecutables, para luego (opcionalmente) subir archivos que permitan la ejecución de comandos u otras acciones.

Está pensado para que pentesters determinen de forma rápida y fácil si el servicio DAV es explotable.

Soporte de DAVTest:

  • Automáticamente enviar archivos exploit.
  • Automatización aleatoria del directorio para ocultar archivos.
  • Enviar archivos de texto e intenta moverlo a un ejecutable.
  • Autorización básica.
  • Limpieza automática de archivos subidos.
  • Enviar archivos arbitrarios.

Herramienta incluida.

davtest – Herramienta de testeo para servidores WebDAV.

Comandos auxiliares

-auth+ Autorización (usuario: contraseña).
-cleanup Borra todo lo subido al finalizar.
-directory + Parte de PostFix del directorio a crear.
-debug + Nivel de detalle. 1-3. (2 y 3, log /req/resp a /tmp/perldav_debug.txt)
-move Coloca los archivos de texto y luego los mueve a ejecutables.
-nocreate No crea directorios.
-quiet Únicamente muestra el resumen.
-rand+ Utiliza esto en vez de cadenas aleatorias para los nombres de archivos.
-sendb+ Envía backdoors.
auto Para cualquier testeo exitoso.
ext Verifica el nombre de archivo en directorio de backdoors.
-uploadfile+ Sube el archivo (requiere –uploadloc)
-uploadloc+ Sube el archivo a la ruta indicada (requiere –uploadfile)
-url+ Dirección del Dav.

Ejemplo de uso.

Ejemplo: /usr/bin/davtest -url http://localhost/davdir

Escanear el server WebDav (-url http://192.168.1.209):