Quali strumenti utilizzate per i test di sicurezza delle applicazioni Web? [chiuso]

StackOverflow https://stackoverflow.com/questions/112687

Domanda

Esistono strumenti consigliati per i test di sicurezza delle applicazioni Web?

Ho usato WebScarab di OWASP, ma lo trovo un po 'difficile e ingombrante da usare.

C'è qualcos'altro di meglio che potresti suggerire di usare?

È stato utile?

Soluzione

Invece di WebScarab, prova il proxy Fiddler ( http://www.fiddlertool.com ). Molto più comodo.

A parte questo, "test di sicurezza" è un termine molto ampio.
Per lo meno, hai:

  • Test di penetrazione - Uso Appscan, molti altri.
  • Revisione del codice sorgente / Analisi statica - Fortify è considerato uno dei migliori, mi sono innamorato di Checkmarx (ma richiede un addetto alla sicurezza) ... Maggiori informazioni sulla tua specifica tecnologia / lingua ti aiuterebbero a dare risposte più mirate .
  • Esistono altri tipi di "test di sicurezza", ma non ho familiarità con altri strumenti automatici per questi tipi.
  • In base all'ultimo punto e ai test più avanzati dei primi due tipi (PT / CR), i test manuali eseguiti da un esperto sono davvero i migliori (se non i più convenienti).

Altri suggerimenti

HP ha un'app per testare le iniezioni di SQL chiamata Scrawlr.

Scrawlr

Fortify ha fatto bene per noi.

http://www.fortify.com/

Lavoro per un'azienda che esegue test di penetrazione delle app Web nell'ambito delle sue attività. Utilizziamo molti strumenti diversi. Alcuni sono strumenti unici in Ruby per progetti specifici o in framework o proxy sviluppati internamente (di nuovo Ruby). La maggior parte dei test di penetrazione delle nostre app Web viene eseguita utilizzando webscarab, burpsuite o proxy paros. Tutti hanno una sorta di funzionalità di registrazione, una discreta quantità di energia e uno o due inconvenienti.

Ho trovato webscarab come il più semplice da usare. Ma non gestisce VIEWSTATE o fa molto per la ricerca. Abbiamo effettivamente trovato dati in VIEWSTATE che non dovrebbero essere presenti, quindi ogni volta che li vediamo tendiamo a passare a un proxy diverso. Burpsuite è la mia prossima scelta. Gestisce VIEWSTATE ma l'interfaccia richiede molto per abituarsi e il suo output mentre tecnicamente più completo - mantiene le richieste / risposte originali e modificate - è più difficile da usare.

Sfortunatamente, la risposta alla tua domanda è leggermente più complicata di un semplice proxy. C'è di più oltre a raccogliere un proxy o uno scanner e lasciarli funzionare. Una persona deve verificare tutto ciò che lo strumento trova e ci sono alcune cose a dir poco che una persona troverà.

tqbf ha una buona spiegazione di questo qui .

Uso Nikto .

Nikto è uno scanner di server Web Open Source (GPL) che esegue test completi su server Web per più elementi, inclusi oltre 3500 file / CGI potenzialmente pericolosi , versioni su oltre 900 server e problemi specifici della versione su oltre 250 server. Gli elementi e i plug-in di scansione vengono aggiornati di frequente e possono essere aggiornati automaticamente (se lo si desidera).

Nikto non è progettato come uno strumento troppo furtivo. Testerà un server web nel minor tempo possibile ed è abbastanza ovvio nei file di registro. Tuttavia, esiste il supporto per i metodi anti-IDS di LibWhisker nel caso in cui tu voglia provarlo (o testare il tuo sistema IDS).

Questo elenco potrebbe anche aiutare: I 10 principali scanner di vulnerabilità Web

Questi sono tutti per le app web di test penna

  1. arricciatura - strumento da riga di comando da esplorare
  2. nikto / wikto - scanner per vulns
  3. w3af - Ho sentito cose fantastiche, non ci ho provato molto
  4. sqlmap - iniezione sql automatizzata
  5. WebDeveloper e firebug - estensioni firefox
  6. Twill e Selenium con i tuoi casi di test http://ha.ckers.org/xss.html

Suggerirei di usare l'ispezione manuale con semplici strumenti di ricerca di stringhe come findstr. Ecco una grande risorsa di ispezione di sicurezza manuale per asp.net: http://msdn.microsoft.com/en-us/library/ms998364. aspx Oppure puoi passare direttamente alle domande di sicurezza che guidano la tua strada verso la ricerca delle vulnerabilità di sicurezza: http://msdn.microsoft.com/en-us/library/ms998375. aspx Ho un riepilogo delle tecniche di ricerca delle stringhe qui: http://blogs.msdn.com/ace_team/archive/2008/07/24/security-code-review-string-search-patterns-for-finding-vulnerabilities- in-asp-net-web-Application.aspx

È possibile utilizzare Paros o Netsparker per i test di sicurezza. Il seguente URL può aiutare a trovare alcuni strumenti di test di sicurezza:

http://www.webresourcesdepot.com/10 -free-web-application-sicurezza-test-tools /

Autorizzato sotto: CC-BY-SA insieme a attribuzione
Non affiliato a StackOverflow
scroll top