KALI/SANA — NIKTO-01 · Web Server Scanner

Ujian Bawaan

6700+

misconfig, berbahaya, versi

Tuning (-T)

10 KATEGORI

0–9 — seleksi ujian

Jejak

MAXIMUM

UA "Nikto" + banjir request

Output

HTM/CSV

-o file -Format htm

01Konsep

nikto: Scanner Generik yang Tidak Pernah Senyap

nikto menguji 6700+ potensi masalah: berkas berbahaya tertinggal, konfigurasi keliru, versi usang, header keamanan hilang. Ia tidak dirancang stealth — User-Agent "Nikto" dan volume ribuan request membuatnya terbaca di log sejak detik pertama. Anggap sebagai audit yang jujur, bukan pengintaian.

RED — TEMUAN KHAS

/server-status, phpinfo, admin panel terekspos.
Header keamanan hilang (CSP/HSTS) — masukan hardening.
Versi usang + CVE yang cocok.
TRACE aktif, directory listing.

BLUE — DETEKSI NYARIS OTOMATIS

UA "Nikto" — satu rule Suricata menangkapnya.
Ribuan request/error dalam menit — fail2ban langsung.
Dipakai juga untuk menguji: apakah sensor-mu membangunkanmu?

02Builder

Susun nikto -h -T

Host (-h)

Port (-p)

Tuning (-T)

Format Laporan

nikto

BACA SEBELUM ENTER

nikto default = ribuan request berjam-jam. Pastikan: (1) target unit milikmu, (2) asisten tahu, (3) jangan gabungkan -T 6 dengan produksi. Untuk "audit cepat", pakai -T 12.

03Tuning & Output

Kategori -T & Membaca Hasil

Digit -T	Kategori Ujian	Catatan
1	File menarik / klasik	Aman & cepat
2	Misconfiguration / default	Emas untuk hardening report
3	Information disclosure	Bocoran versi, path, header
4	Injection (XSS/Script)	Identifikasi, bukan exploit
5–8	Remote retrieval / command exec	Lebih invasif — target milikmu
6	Denial of Service	JANGAN di lab tanpa instruksi
9	SQL injection	Identifikasi error-based

contoh + potongan output

nikto -h dvwa1.abdurrozak.my.id -T 123 -o recon/web/nikto-unit01 -Format htm

+ Server: Apache/2.4.57                      # versi bocor — hardening!
+ Retrieved x-powered-by header: PHP/8.2.7
+ /server-status: Apache mod_status terekspos  # metrik internal bocor
+ /setup.php: potentially interesting file     # DVWA setup terbuka
+ No CSP header / No HSTS                     # masukan hardening report
+ OSVDB entries matched …                     # referensi kerentanan

# dengan kredensial (bila halaman di balik login):
nikto -h dvwa1… -id admin:p@ssw0rd -usecookies