Ci sono strumenti cross-platform per scrivere attacchi XSS direttamente al database?

Question

Recentemente ho trovato questa voce blog su uno strumento che scrive XSS attacca direttamente al database. Si presenta come un terribilmente buon modo per eseguire la scansione di una domanda di debolezze in mie applicazioni.

Ho cercato di eseguire sul Mono , dal momento che la mia piattaforma di sviluppo è Linux. Purtroppo si blocca con un System.ArgumentNullException profondo Microsoft.Practices.EnterpriseLibrary e mi sembra di essere in grado di trovare le informazioni sufficienti sul software (sembra essere un progetto a colpo singolo, senza homepage e nessun ulteriore sviluppo).

C'è qualcuno che è a conoscenza di uno strumento simile? Preferibilmente dovrebbe essere:

• multipiattaforma (Java, Python, .NET / Mono, anche multi-piattaforma C è ok)
• open source (mi piace molto essere in grado di controllare i miei strumenti di sicurezza)
• in grado di parlare con una vasta gamma di prodotti DB (quelli più grandi sono più importanti: MySQL, Oracle, SQL Server, ...)

Modifica vorrei chiarire il mio obiettivo: Vorrei uno strumento che direttamente , scrive il risultato di un XSS successo / SQL attacco iniezione nel database. L'idea è che voglio verificare che ogni posto nel mio app fa corretto uscita encoding . Rilevamento ed evitando i dati come arrivare in primo luogo è una cosa completamente diversa (e potrebbe non essere possibile quando ho visualizzare i dati che è scritto nel DB da un'applicazione di terze parti).

Modifica 2: Corneliu Tusnea, l'autore dello strumento ho linkato sopra, da allora ha rilasciato il tool software come libero su CodePlex: http://xssattack.codeplex.com/

Answer 1

Credo Metasploit ha la maggior parte degli attributi che stai cercando. Può anche essere l'unico che ha tutto ciò che si specifica, dal momento che tutti gli altri mi vengono in mente sono closed source. Ci sono alcuni moduli esistenti che si occupano di XSS e uno in particolare che si dovrebbe dare uno sguardo a: HTTP Microsoft SQL Injection Tabella XSS infezione. Dai suoni di quel modulo è in grado di fare esattamente ciò che si vogliono fare. Il quadro è scritto in Ruby credo, e si suppone che sia facile da estendere con i propri moduli che potete avere bisogno / voglia di fare. Mi auguro che aiuta.

http://www.metasploit.com/

Answer 2

Non sono sicuro se questo è quello che stai dopo, è un fuzzer parametro per HTTP / HTTPS.

Non ho usato in un po ', ma IIRC agisce un proxy tra l'utente e l'applicazione web in questione - e inserirò XSS stringhe di attacco / SQL Injection in tutti i campi di input prima ritenendo che la risposta è stata "interessante" o no, quindi se l'applicazione è vulnerabile o meno.

http://www.owasp.org/index.php/Category:OWASP_WebScarab_Project

Dalla tua domanda Sto indovinando che è un tipo di fuzzer che stai cercando, e uno specifico per le applicazioni XSS e web; se ho ragione! - allora che potrebbe aiutare a

parte della Open Web Application Security progetto (OWASP) Il suo che "Jah" ti ha linkato sopra.

Answer 3

Ci sono alcuni plugin di Firefox per fare qualche test XSS qui: http://labs.securitycompass.com/index.php/exploit-me/

Answer 4

Un mio amico continua a dire, che le php-ID è piuttosto buona. Non ho provato io stesso, ma suona come se potesse circa abbinare il vostro Descrizione:

• Open Source (LGPL),
• Cross Platform - PHP non è nella lista, ma forse è ok
?
• Rileva "ogni sorta di XSS, SQL Injection, iniezione intestazione, directory traversal, RFE / LFI, DoS e attacchi LDAP" (questo è dal FAQ)
• Registri a database.

Answer 5

Non credo che ci sia un tale strumento, diverso da quello che ci indicò. Penso che ci sia una buona ragione per questo: Non è probabilmente il modo migliore per testare che ogni uscita è correttamente codificato per il contesto applicabile

.

Da leggere su quello strumento sembra la premessa è quella di inserire i vettori XSS casuali nel database e poi passare in rassegna l'applicazione per vedere se uno qualsiasi di questi vettori riescono. Questo è piuttosto una metodologia colpo e perdere, per non dire altro.

Un idea molto meglio, credo, sarebbe per eseguire le revisioni del codice.

Si possono trovare utile avere uno sguardo ad alcune delle risorse disponibili a http://owasp.org -. vale a dire l'Application Security verifica standard (ASVS), la Guida test e Review Guida Codice