Goby新一代安全工具
Goby 是一款新的网络安全测试工具，由赵武 Zwell（Pangolin、JSky、FOFA 作者）打造，它能够针对一个目标企业梳理最全的攻击面信息，同时能进行高效、实战化漏洞扫描，并快速的从一个验证入口点，切换到横向。我们希望能够输出更具生命力的工具，能够对标黑客的实际能力，帮助企业来有效地理解和应对网络攻击。
Goby 主要特性：
· 实战性：Goby 并不关注漏洞库的数量有多么多，而是关注真正用于实际攻击的漏洞数量，以及漏洞的利用深度（最小精准 ** 体，打造权威性）；
· 体系性：打通渗透前，渗透中，以及渗透后的完整流程完整 DOM 事件收集，自动化触发。
· 高效性：利用积累的规则库，全自动的实现 IT 资产攻击面的梳理；效率提升数倍，发包更少速度更快、更精准；
· 平台性：发动广泛的安全人员的力量，完善上面提到的所有资源库；包括基于社区的数据共享，插件发布，漏洞共享等；
· 艺术性：安全工具原本就比较偏门，我们更多的关注功能而非美观度，所有大部分的安全工具都是其貌不扬；我们希望使用 Goby 能给大家带来感官上的享受。
0x001 安装
Goby 目前是使用 Go 语言开发、采用 Electron+VUE 前端框架的绿色版本，支持 windows/MacOS/Linux，无需安装。因 Goby 基于网络扫描，所以使用前，请先赋予 goby 识别网卡的权限。方式如下：
1、Windows 用户
下载 Npcap 数据捕获包，安装完成后，启动 goby。
下载地址https://nmap.org/npcap/dist/npcap-0.9983.exe
2、MacOS 用户
执行以下命令：
1.cd /dev
2.sudo chown $USER:admin bp*
0x002 使用
1. 资产收集
自动探测当前网络空间存活的 IP 及解析域名到 IP，轻量且快速的分析出端口对应的协议、Mac 地址、证书、应用产品、厂商等信息。
在设置界面开启以下功能，将获取更多资产信息。
· 子域名扫描
自动爬取子域名，AXFR 监测，二级域名字典爆破，关联域名查询。同时支持连接 FOFA，扩大数据源。
· 网站截图
通过截图，快速判断网站系统应用，无须再一一打开。
注：该功能基于 Chrome 截图插件实现，需要预安装 Chrome 浏览器。
· 深度分析
发现非标准端口或非标准应用系统资产，进行深入的应用识别。在实战场景中非常有效。
· 代理扫描
通过 socket5 代理，快速进入内网，开启内网渗透。
注：支持 Pcap 及 socket 两种模式，请根据不同的场合动态切换。
pcap 模式：支持协议识别和漏洞扫描，不支持端口扫描；
socket 模式：支持端口扫描协议识别以及漏洞扫描，扫描速度慢。
2. 漏洞利用
● 对扫描出来的风险资产进行批量验证，验证成功后，可进行利用，利用成功后，不需要自己搭建服务器，直接进行 shell 管理。
· 支持自定义 PoC 及弱口令字典，让安全人员自定义属于自己的武器库，增强攻击力。
3. 生成报告
扫描完成后，生成分析报告，并支持 PDF、Excel 导出，方便本地分析及呈报传阅。
4. CS 模式
远程服务，区分扫描模块及展示模块。
CS 搭建：开启远端服务，然后配置服务端主机、端口、账户信息。
0x003 预置数据说明
1. 规则库
超过 10 万种规则识别引擎，硬件覆盖范围：网络设备，物联网设备，网络安全产品，办公设备等，软件覆盖范围：CRM，CMS，EMAIL，OA 系统等。
2. 协议
超过 200 种协议识别引擎，覆盖网络协议，数据库协议，IoT 协议，ICS 协议等。
3. 端口
除了常用端口，我们还根据安全实战场景进行了端口分组，包括企业、咖啡馆、酒店、机场、数据库、物联网、SCADA、ICS、后门检测等。
4. 漏洞及弱口令
覆盖 Weblogic，Tomcat 等最严重漏洞及超过 1000 种设备的预置账号信息。
· CVE-2020-2551
· CVE-2020-2555
· CVE-2019-10758
· CVE-2011-3556
· CVE-2017-5878
· CVE-2018-1297
· CVE-2019-19781
· CVE-2020-10189
· CVE-2016-4437
· CVE-2018-1000861
· CVE-2017-1000353
· CVE-2020-1938
…
持续更新中
0x004 小结
Goby 目前是 Beta 版本，还有很多功能正在按部就班的开发，如上面提到的插件市场及社区数据共享等。以及，之前在追求功能的时候，顾不上一些边边角角，导致遗留了很多 bug。所以接下来的时间，Goby 团队会重点完善如下几个方面：一）稳定性；二）实战型漏洞的补充完善；三）几个大功能的开发。完成这几点，争取今年 Goby 版本转正，发布正式版让大家批评指正。