Im Kurztest: Dwgen 1.0.0, Pycp 8.0.6, Sslyze 1.2.0, CSVS-to-SQlite 0.7, Filebutler 0.4.0, Weevely 3.5

Die Diceware-Methode erzeugt sichere und leicht zu merkende Passwörter mit Hilfe eines Würfels. Dazu wählt sie mehrere Wörter aus einer speziellen Liste aus und hängt diese aneinander. Der Würfel dient dabei als Zufallsgenerator.

Dwgen nutzt die Diceware-Methode auf der Kommandozeile. Das in C implementierte Tool erspart Anwendern das Würfeln von Hand und ermittelt die Zufallswerte über die virtuelle Gerätedatei »/dev/random«, die Umgebungsrauschen in einem Entropie-Pool sammelt und daraus die Zufallszahlen generiert. Auf Systemen mit wenig Aktivität dauert das Berechnen der Ziffern daher eventuell etwas länger.

In der Voreinstellung gibt Dwgen eine Passphrase aus, die aus acht Wörtern besteht. Wer mehr oder weniger Wörter benötigt, schreibt die gewünschte Anzahl einfach als Ziffer hinter den »dwgen«-Befehl. Mehr Parameter kennt das Tool nicht. Die Wortliste ist fest in den Code integriert. Wer sie ändern möchte, muss anschließend neu kompilieren.

  Dwgen hilft beim Entwickeln starker Passwörter, die sich Anwender gut merken können. Es wäre allerdings schön, wenn Nutzer eine eigene Wörterliste definieren könnten. Daher gibt es für die derzeitige Version nur zwei von fünf Sternchen.

Die beiden Programme »cp« und »mv« zeigen über »-v« an, was im Hintergrund passiert – mehr Rückmeldung dürfen Anwender nicht erwarten. Wer für größere oder besonders viele Dateien eine Fortschrittsanzeige sucht, sollte sich daher das Python-Tool Pycp anschauen.

Die beiden Befehle zum Kopieren oder Verschieben lauten »pycp« und »pymv«. Dahinter geben Nutzer wie gewohnt Quelle und Ziel an. Das Tool blendet einen Fortschrittsbalken für jede Datei ein. Am rechten Rand erscheinen außerdem der Datendurchsatz pro Sekunde und die erwartete Laufzeit. Wer viele Files oder ganze Verzeichnisse kopiert oder verschiebt, schaltet mit »-g« eine globale Anzeige ein. Am linken Rand erscheinen dann Informationen zur Gesamtzahl.

Wie »cp« und »mv« kennt Pycp den Schalter »-i« und fragt dann vor dem Überschreiben vorhandener Dateien nach. Alternativ sorgt »-s« dafür, dass das Tool niemals etwas überschreibt. Das Gegenteil bewirkt »-f«. Sollen Zeitstempel und Eigentumsrechte erhalten bleiben, geben Anwender »-p« an.

  Wer sich einen Fortschrittsbalken fürs Kopieren oder Verschieben auf der Shell wünscht, dürfte mit »pycp« respektive »pymv« rundum zufrieden sein. Beide Programme arbeiten schnell und bieten alle wichtigen Funktionen.

Sslyze geht Admins zur Hand und spürt häufige Ungereimtheiten in der SSL-Konfiguration auf. Das Python-Tool ermittelt die Fehler beim Verbindungsaufbau, sodass Nutzer bequem entfernte Systeme prüfen können. Sslyze läuft mit Python 2.7 und 3.4 oder neuer.

Die Checks sind als Plugins implementiert; Anwender geben sie beim Aufruf zusammen mit dem Hostnamen an. Wer mehrere Systeme kontrollieren möchte, schreibt alle Adressen in eine Datei und definiert diese hinter »–targets_in«. Die grundlegenden Informationen eines Zertifikats ermittelt »–certinfo«. Sslyze prüft auf Wunsch, ob ein System immer noch für Heartbleed-Bugs (»–heartbleed«) oder Fallback-Angriffe (»–fallback«) anfällig ist. Wer alle Sslyze-Checks ausführen möchte, verwendet »–regulare«.

In der Voreinstellung schreibt das Programm seine Ergebnisse nach Standardout ins Terminal. Wer sie später weiterverarbeiten möchte, kann sie im XML- oder Json-Format notieren. Sslyze bricht die Tests nach 5 Sekunden ab, wenn die Gegenstelle nicht antwortet. Mit »–timeout« setzen Admins den Wert für schlechte Verbindungen hoch.

  Sslyze lässt keine Wünsche offen. Das Tool testet SSL-Konfigurationen auf Herz und Nieren und notiert die Ergebnisse in verschiedenen Formaten.

Das CSV-Format (Comma-separated Values) kommt oft zum Einsatz, um tabellarische Daten zwischen Systemen und Programmen auszutauschen. Wer diese Textdateien auswerten oder bearbeiten möchte, kann zum Lieblings-Texteditor greifen. Alternativ bietet sich CSVS-to-SQlite an, das CSV-Dateien auf der Shell in SQlite-Datenbanken konvertiert. Das Tool benötigt eine Python-2-Umgebung. Eine SQlite-Installation ist zum Umwandeln nicht erforderlich.

Benutzer geben beim Aufruf die CSV-Datei gefolgt vom Namen der Datenbank an. CSVS-to-SQlite erzeugt diese und legt dabei eine einzige Tabelle an. Es ist möglich, mehrere CSV-Dateien zu benennen. Die resultierende Datenbank enthält dann die passende Anzahl an Tabellen. Alternativ benennen Anwender einen Verzeichnispfad, das Tool sucht dann dort (und in den Unterverzeichnissen) nach CSV-Dateien.

Falls es erforderlich ist, können Nutzer über den Parameter »-s« einen anderen Feldtrenner als das Komma benennen. Wer TSV-Dateien umwandeln möchte, definiert den Tabulator über den Schalter »-s $’\t’«. Es ist darüber hinaus möglich, die Spalten einer CSV-Datei auf mehrere Tabellen in einer Datenbank zu verteilen. Dazu schreiben Anwender hinter »-c« ein Muster, das festlegt, welche Spalte eine eigene Tabelle enthält und wie diese heißen soll. Der mehrfache Einsatz von »-c« ist erlaubt.

  CSVS-to-SQlite wandelt CSV-Dateien flott und unkompliziert in SQlite-Datenbanken um. Gut gefielen den Testern die zahlreichen Möglichkeiten, die Daten beim Konvertieren neu zu strukturieren.

Viele Nutzer setzen auf »find«, um Dateien auf Linux-Systemen aufzuspüren. In großen Verzeichnisbäumen kann es eine Weile dauern, bis das Tool seine Ergebnisse präsentiert. Filebutler verspricht Abhilfe. Das dienstbare Python-Tool fasst Verzeichnisse zu so genannten Filesets zusammen und arbeitet mit einem internen Cache.

Nach dem Start definieren Anwender mit dem Kommando »set« ein »cache«- und ein »log«-Verzeichnis. Danach legen sie über »fileset« ein neues Set an, geben diesem einen eindeutigen Namen und einen Fileset-Typ. Neben »find« und »find.gnu.out«, die den Inhalt eines Ordners nach bestimmten Mustern erfassen, gibt es »filter« und »union«. Letzterer bündelt mehrere Filesets. Beim Einrichten eines Filters geben Anwender weitere Parameter an, etwa die Größe oder den Benutzernamen. Leider akzeptiert das Tool nur GByte als Einheit.

Der Befehl »update-cache« aktualisiert den Zwischenspeicher. Anwender sollten ihn regelmäßig aufrufen, damit Filebutler immer auf dem neuesten Stand ist. »print« und »info« geben den Inhalt sowie Informationen eines Fileset aus. Zum Löschen des Inhalts dient »delete«. Dabei greift Filebutler auf eventuell hinterlegte Filter zurück.

Damit Nutzer die Fileset-Definitionen nicht nach jedem Start neu eintragen müssen, empfiehlt sich eine Konfigurationsdatei. Eine Vorlage für die eigene »~/.filebutlerrc« liegt im Archiv.

  Filebutler ist dank des Cache sehr schnell. Anwender müssen jedoch selbst darauf achten, diesen regelmäßig zu aktualisieren.

Ursprünglich von Pen-Testern als PHP-Backdoor entwickelt, hilft Weevely auch dabei, einen rudimentären Shellzugang auf Webservern einzurichten. Dazu erzeugen Anwender erst eine PHP-Agent-Datei und hinterlegen diese auf dem Server. Sie rufen »weevely generate« auf und geben danach ein Passwort und den Namen der Agent-Datei an.

Das Kennwort dient zur späteren Authentisierung; es landet verschlüsselt in der PHP-Datei. Eine Benutzerverwaltung bietet das Tool nicht, und es verschlüsselt den Datenverkehr auch nicht. Dafür ist der Webserver zuständig. Wer weitere Zugänge einrichten möchte, muss mehrere PHP-Agent-Dateien anlegen.

Um eine Shell zu öffnen, rufen Anwender »weevely terminal« auf, gefolgt von der URL der PHP-Agent-Datei und dem auszuführenden Befehl. Wer diesen weglässt, landet im interaktiven Modus. Auf der Weevely-Shell setzen Anwender Befehle ab; sie arbeiten stets mit den Rechten des Webservers. Der interaktive Modus bietet eine Reihe integrierter Zusatzfunktionen, die Nutzer mit einem Doppelpunkt einleiten.

So gibt etwa »:system_info« grundlegende Informationen zum Server preis, während »:audit_etcpasswd« die Datei »/etc/passwd« ausplaudert. Auch der Up- und Download von Dateien sowie Zugriff auf Datenbanken sind möglich.

  Weevely ist ein bewährtes Hilfsmittel, um Webserver zu testen. Anwender können das Tool auch einsetzen, um eine rudimentäre Shell auf Rechnern zu erhalten, die lediglich Webspace und keinen Konsolenzugang bieten.