Davtest
Guida Approfondita all'Uso di davtest ---
Guida Approfondita all'Uso di davtest
🔧 Cos'è davtest?
davtest è uno strumento progettato per testare la vulnerabilità dei server WebDAV, una estensione del protocollo HTTP che consente agli utenti di gestire file su server remoti.
Lo strumento verifica se è possibile caricare ed eseguire file potenzialmente pericolosi come script web (es. .asp, .php, .jsp) tramite WebDAV.
⚖️ Obiettivi di davtest
- Testare la possibilità di upload di file su WebDAV
- Verificare l'esecuzione remota di payload (webshell)
- Validare quali tipi di file vengono accettati ed eseguiti dal server
🔢 Sintassi di base
davtest -url http://<ip>/<directory>Opzioni principali:
| Opzione | Descrizione |
-url | URL completo del target WebDAV |
-auth user:pass | Usa credenziali per l'autenticazione (Basic Auth) |
-cookie | Specifica un cookie di sessione per l'accesso |
-proxy http://127.0.0.1:8080 | Usa un proxy (utile per debugging con Burp) |
-debug | Mostra output dettagliato del processo |
-quiet | Output minimale |
📆 Esempi pratici
1. Scan semplice su server WebDAV
davtest -url http://10.10.10.10/webdav/2. Scan autenticato con Basic Auth
davtest -auth admin:admin123 -url http://10.10.10.10/webdav/3. Usare un proxy (es. Burp Suite)
davtest -url http://10.10.10.10/webdav/ -proxy http://127.0.0.1:8080🔎 Output Tipico
Il tool tenterà di caricare diversi tipi di file e poi accederà all'URL per verificare se l'esecuzione è possibile.
Esempio di output:
Uploading test.asp: SUCCESS
Executing test.asp: SUCCESS
Uploading test.php: SUCCESS
Executing test.php: FAILIn questo caso, il server permette l'esecuzione di script .asp, ma non .php.
🤔 Quando è utile davtest?
- Durante il penetration testing di server Windows con IIS WebDAV abilitato
- Per testare server legacy o sistemi mal configurati
- Come parte di una catena di exploit che prevede upload di webshell
⚠️ Considerazioni di sicurezza
- Non eseguire su sistemi senza autorizzazione
- Gli upload e le esecuzioni potrebbero causare allarmi su IDS/IPS
- Assicurarsi che il test sia all'interno del perimetro autorizzato del test
🔹 Strumenti correlati
cadaver- Client interattivo WebDAV per upload manuale
curl -X OPTIONS- Per controllare i metodi HTTP abilitati
nmap --script http-webdav-scan- Rilevamento WebDAV
🌊 Conclusione
davtest è uno strumento semplice ma potente per testare WebDAV. Utilizzato correttamente, può aiutarti a identificare server vulnerabili all'upload e all'esecuzione di file malevoli, rappresentando un punto d'ingresso critico per un attaccante.
✉️ Consiglio: sedavtestrileva l'esecuzione possibile, considera l'upload di una webshell.aspper ottenere accesso remoto al sistema.