Qué es Nikto y cómo instalarlo

Bienvenida

Bienvenido a Nikto: escáner de servidores web. Cuando a uno le entregan un servidor web para cuidar, la primera pregunta es siempre la misma: ¿qué tiene mal configurado que un atacante vería en dos minutos? Nikto responde justo eso. Esta píldora es para quien empieza en seguridad web, en soporte de sistemas o en un SOC y quiere una primera herramienta que le diga, con honestidad, en qué estado está un servidor.

No necesita conocimientos previos más allá de manejar una terminal. Al terminar sabrá instalar Nikto, lanzar un escaneo, leer su reporte, reconocer sus límites y priorizar los hallazgos para endurecer su propio servidor. Son tres lecciones cortas, un laboratorio contra una aplicación vulnerable que usted mismo levanta, una chuleta y un quiz de 4 preguntas: unos 45 minutos en total.

Qué es Nikto y por qué importa

Nikto es un escáner de servidores y aplicaciones web gratuito y de código abierto, escrito en Perl por Chris Sullo y Dave Lodge. Su trabajo es lanzar miles de peticiones contra un servidor web y revisar la respuesta en busca de problemas conocidos: configuraciones peligrosas, archivos y scripts que vienen por defecto y nadie borró, cabeceras de seguridad ausentes y versiones de software con vulnerabilidades documentadas.

Dicho simple: Nikto compara su servidor contra una base de datos de miles de comprobaciones y le entrega una lista de "esto se ve mal, revíselo". No explota nada; solo mira y reporta. Por eso es una excelente primera herramienta para el defensor que quiere saber qué deja expuesto sin querer.

El nombre viene de la película clásica Ultimátum a la Tierra: Nikto es una de las palabras que detienen al robot Gort. Nada que ver con la seguridad, pero así nacen muchos nombres en este mundo.

Instalación en dos minutos

En Kali Linux ya viene instalado. En Debian o Ubuntu está en los repositorios. En cualquier sistema con Git puede clonarlo desde su repositorio oficial y ejecutarlo directamente, ya que es un script de Perl.

# Debian, Ubuntu o Kali
sudo apt install nikto
 
# Alternativa multiplataforma: clonar y ejecutar
git clone https://github.com/sullo/nikto
perl nikto/program/nikto.pl -Version

Compruebe que quedó bien con la opción de versión. Debería ver el número de Nikto y la fecha de su base de datos de comprobaciones.

+ Nikto v2.5.0
+ Databases: db_tests (7217 entries)

Si la base de datos es muy vieja, actualícela con la opción -update: entre más reciente, más comprobaciones conoce.

Errores frecuentes

Can't locate Net/SSLeay.pm in @INC

En Linux esto significa que falta el módulo de Perl para TLS. Instálelo con sudo apt install libnet-ssleay-perl y vuelva a intentar. Sin él, Nikto no puede escanear sitios por HTTPS.