Strumenti per verificare le vulnerabilità comuni?

Esistono buoni strumenti (desktop o online) che ti consentono di verificare se il tuo sito Web ha vulnerabilità comuni (ad esempio SQL Injection, XSS)?

websecurify è il miglior progetto FOSS che ho trovato.

Potresti voler controllare Skipfish di Google , è estremamente completo e funziona dai dizionari che fornisci, sono inclusi i valori predefiniti (standard / lavello della cucina).

È anche un po 'più "gentile" rispetto ad altri che ho usato, ma non riesco a trovare qualcosa con le stesse funzionalità con cui confrontare i risultati.

La sua scritta C ha un output MOLTO informativo ed è estremamente facile da usare. Ti consiglio di eseguirlo da qualsiasi server * nix standard o da casa se hai una connessione veloce. Ha anche un sistema di coda richieste intelligente con aggiornamenti in tempo reale. È davvero divertente vederlo funzionare.

Segnala la maggior parte delle vulnerabilità, oltre a molti altri problemi di cui potresti non essere a conoscenza. È un po 'pedante, ma pedante è una buona qualità per un tale strumento.

Schermata dei risultati (un po 'vecchia):

testo alternativo http://skipfish.googlecode.com/files/skipfish-screen.png

Esistono molti buoni scanner automatici di vulnerabilità delle applicazioni Web open source open box.

• w3af
• websecurify
• Skipfish
• Netsparker Community Edition (gratuito con funzionalità limitate)
• Nikto

È meglio non fare affidamento su un solo scanner automatico, ognuno ha i suoi punti di forza e di debolezza, quindi esegui sempre alcuni di essi e confronta i risultati. Dovrai anche verificare la presenza di falsi positivi e falsi negativi.

La scansione automatica delle vulnerabilità ha il suo posto ed è utile, tuttavia dovrebbe sempre essere supportata da un professionista della sicurezza che capisce le vulnerabilità e può anche verificarne altre manualmente. La scansione automatica è un buon inizio e meglio di niente però.

Microsoft ha uno strumento di analisi del codice che lo fa (qui c'è un video di Channel 9 su di esso, ed ecco un link per il download per v1). Wikipedia ha anche un buon elenco di strumenti di analisi del codice statico .

RatProxy di Google è anche un'ottima opzione per controllare XSS. Dal momento che è impostato e funziona come proxy, è facile da usare, poiché segue semplicemente il tuo browser mentre collaudi il tuo sito normalmente. Registra tutte le interazioni, i POST, i GET, ecc. E può riprodurre quelle interazioni nel tentativo di iniettare contenuti dannosi. Una volta ripetute le richieste, controllerà l'output per i segni di XSS. Inoltre, mantiene un registro dell'intero ciclo di vita HTTP, che può essere utilizzato per un ulteriore debug.

HP ha Scrawlr per il controllo delle vulnerabilità comuni di SQL Injection.

Ho fatto esattamente questo genere di cose per molto tempo e sarei d'accordo sul fatto che la soluzione migliore sia usare tester esperti per controllare il tuo profilo di sicurezza, tuttavia i test per questi tipi di vulnerabilità sono in realtà abbastanza facili da automatizzare. Dopo aver gestito un programma per testare circa 1000 applicazioni Web in un periodo di 6 mesi, posso affermare che gli strumenti migliori per me sono AppScan e Burp di IBM - e per la maggior parte degli scopi Burp è più leggero, più veloce, più configurabile ed è molto più economico!

Burp è molto facile da verificare per errori di convalida dell'input e per risolvere i problemi di iniezione SQL e XSS. È possibile ottenere una copertura estremamente buona di questo tipo di vulnerabilità.

w3af è uno dei migliori pezzi disponibili per l'audit web ed è anche FOSS

"w3af è un framework per gli attacchi e gli audit delle applicazioni Web. L'obiettivo del progetto è quello di creare un framework per trovare e sfruttare le vulnerabilità delle applicazioni Web che sia facile da usare ed estendere."

assicurati di provarlo

La vulnerabilità del web Acunetix è davvero buona, l'ho usata e mi piace davvero. È possibile eseguire la scansione del sito Web per XSS, iniezione SQL, sistema di caricamento debole e molti altri. Divertirsi.