12 Scanner de segurança da Web de código aberto para encontrar vulnerabilidades

Um relatório interessante de Symantec revela que 1 em cada 10 sites tinha um ou mais códigos maliciosos.


E, se você estiver usando o WordPress, em outro relatório da SUCURI mostra, 49% dos sites digitalizados estavam desatualizados.

Como proprietário de um aplicativo da web, como você garante que seu site esteja protegido contra ameaças online? Não vaza informações confidenciais?

Se você estiver usando uma solução de segurança baseada na nuvem, provavelmente a varredura regular de vulnerabilidades fará parte do plano. No entanto, se não, você deve executar uma verificação de rotina e tomar as medidas necessárias para mitigar os riscos..

Existem dois tipos de scanner.

Comercial – você tem a opção de automatizar a verificação para obter segurança contínua, relatórios, alertas, instruções detalhadas de atenuação, etc. Alguns dos nomes conhecidos no setor são:

  • Acunetix
  • Detectar
  • Qualys

Código aberto / gratuito – você pode baixar e executar uma verificação de segurança sob demanda. Nem todos eles podem cobrir uma ampla gama de vulnerabilidades, como uma comercial.

Vamos verificar o seguinte scanner de vulnerabilidades da web de código aberto.

Arachni

Arachni, um scanner de segurança de alto desempenho construído na estrutura Ruby para aplicativos da web modernos. Está disponível em um binário portátil para Mac, Windows & Linux.

Não apenas site estático ou CMS básico, mas o Arachni é capaz de fazer seguintes impressões digitais da plataforma. Executa ativo & verificações passivas, tanto.

  • Windows, Solaris, Linux, BSD, Unix
  • Nginx, Apache, Tomcat, IIS, Pontão
  • Java, Ruby, Python, ASP, PHP
  • Django, Rails, CherryPy, CakePHP, ASP.NET MVC, Symfony

Alguns dos detecção de vulnerabilidades estamos:

  • Injeção NoSQL / Blind / SQL / Code / LDAP / Command / XPath
  • Falsificação de solicitação entre sites
  • Percurso do caminho
  • Inclusões de arquivo local / remoto
  • Divisão de resposta
  • Script entre sites
  • Redirecionamentos DOM não validados
  • Divulgação do código fonte

Você tem a opção de fazer uma relatório de auditoria em HTML, XML, Texto, JSON, YAML, etc.

O Arachni permite que você estenda a verificação para o próximo nível, utilizando os plugins. Confira a lista completa Recursos do Arachni e faça o download para experimentar.

XssPy

Um scanner de vulnerabilidade XSS (script entre sites) baseado em python é usado por muitas organizações, incluindo Microsoft, Stanford, Motorola, Informatica, etc..

XssPy por Faizan Ahmad é uma ferramenta inteligente. Faz uma coisa muito bem. Em vez de apenas verificar a página inicial ou a página fornecida, ele verifica o link inteiro nos sites.

O XssPy também verifica o subdomínio, para que nada fique de fora.

w3af

w3af, um projeto de código aberto iniciado no final de 2006, é alimentado por Python e está disponível no Linux e Windows OS. O w3af é capaz de detectar mais de 200 vulnerabilidades, incluindo as 10 principais da OWASP.

w3af deixar você injetar cargas úteis para cabeçalhos, URL, cookies, string de consulta, pós-dados etc. para explorar o aplicativo Web para auditoria. Ele suporta vários métodos de registro para geração de relatórios. Ex:

Ex:

  • CSV
  • HTML
  • Console
  • Texto
  • XML
  • O email

Ele é construído sobre uma arquitetura de plug-in e você pode conferir todas as plugins disponíveis aqui.

Nikto

Um projeto de código aberto patrocinado pela Netsparker visa encontrar erros de configuração, plug-ins e vulnerabilidades na Web do servidor da Web. Nikto realiza um teste abrangente contra mais de 6500 itens de risco.

Ele suporta proxy HTTP, SSL, com autenticação NTLM, etc. e pode definir o tempo máximo de execução por varredura de destino.

Nikto também está disponível no Kali Linux.

Parece promissor para a solução da intranet encontrar riscos de segurança nos servidores da web.

Wfuzz

Wfuzz (O Web Fuzzer) é uma ferramenta de avaliação de aplicativos para testes de penetração. Você pode confundir os dados na solicitação HTTP para qualquer campo para explorar o aplicativo da web e auditar os aplicativos da web.

O Wfuzz exigia a instalação do Python no computador em que você deseja executar a verificação. Ficou excelente documentação para você começar.

OWASP ZAP

ZAP (Zet Attack Proxy) é uma das famosas ferramentas de teste de penetração que é ativamente atualizada por centenas de voluntários em todo o mundo.

É uma ferramenta baseada em Java multiplataforma que pode ser executada mesmo no Raspberry Pi. O ZIP fica entre um navegador e um aplicativo da Web para interceptar e inspecionar mensagens

Vale a pena mencionar algumas das seguintes funcionalidades da ZAP.

  • Fuzzer
  • Automatizado & scanner passivo
  • Suporta várias linguagens de script
  • Navegação forçada

Eu recomendo dar uma olhada Vídeos tutoriais do OWASP ZAP para começar.

Wapiti

Wapiti varre as páginas da web de um determinado destino e procura scripts e formulários para injetar os dados para ver se isso é vulnerável. Não é uma verificação de segurança do código fonte; em vez disso, ele executa verificações de caixa preta.

Ele suporta o método HTTP GET e POST, proxies HTTP e HTTPS, várias autenticações, etc..

Vega

Vega é desenvolvido pela Subgraph, uma ferramenta suportada por várias plataformas escrita em Java para encontrar XSS, SQLi, RFI e muitas outras vulnerabilidades.

O Vega possui uma interface gráfica agradável e capaz de executar uma verificação automatizada efetuando login em um aplicativo com uma determinada credencial.

Se você é um desenvolvedor, pode aproveitar a API vega para criar novos módulos de ataque.

SQLmap

Como você pode adivinhar pelo nome, com a ajuda do sqlmap, você pode executar testes de penetração em um banco de dados para encontrar falhas.

Funciona com o Python 2.6 ou 2.7 em qualquer sistema operacional. Se você procura encontrar injeção SQL e explorar o banco de dados, o sqlmap seria útil.

Grabber

É uma pequena ferramenta baseada em Python e faz algumas coisas muito bem. Alguns dos Grabber’s características são:

  • Analisador de código-fonte JavaScript
  • Script entre sites, injeção de SQL, injeção de Blind SQL
  • Teste de aplicativo PHP usando PHP-SAT

Golismero

Uma estrutura para gerenciar e executar algumas das ferramentas de segurança populares, como Wfuzz, reconhecimento de DNS, sqlmap, OpenVas, analisador de robôs etc.).

Golismero é inteligente; ele pode consolidar o feedback do teste de outras ferramentas e mesclar para mostrar um único resultado.

OWASP Xenotix XSS

Xenotix XSS OWASP é uma estrutura avançada para localizar e explorar scripts entre sites. Ele incorporou três fuzzers inteligentes para uma verificação rápida e melhores resultados.

Possui centenas de recursos e você pode confira todos os listados aqui.

Conclusão

A segurança da Web é essencial para qualquer negócio on-line, e espero que o scanner de vulnerabilidades de código-fonte aberto listado acima o ajude a encontrar riscos, para que você possa mitigar antes que alguém tire vantagem disso. Se você estiver interessado em aprender sobre o teste de penetração, confira este curso online.

TAG:

  • Código aberto

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map