Initialement créé en 2006, Wapiti était un outil à l’origine dédié à la recherche de failles XSS. Au fil du temps, ce logiciel libre s’est étoffé de nouveaux modules lui permettant de rechercher les vulnérabilités web les plus connues.La version 3.0.0 sortie en janvier 2018 apporte de nombreuses nouvelles options et marque le passage à Python 3.
Le présent article vous présentera Wapiti, comment l’utiliser, quel est son mode de fonctionnement et comment écrire un nouveau module d’attaque.
1. Just scan it
Wapiti est un outil en ligne de commandes basé sur Python 3. Il a peu de dépendances, son installation est simple et détaillée sur une page wiki du projet [INSTALLATION].
Pour cet article, les scans seront lancés sur un [WACKOPICKO], une application web intentionnellement vulnérable.
Le logiciel procède selon 3 phases successives qui sont l’énumération des URLs et formulaires web de l’application visée (scan), l’injection de payloads par différents modules d’attaque via les entrées découvertes précédemment et enfin la génération d’un rapport de vulnérabilité final.
1.1 Première phase
Pour lancer Wapiti, il suffit de lui fournir une URL de base via l’option -u (ou