web-dev-qa-db-ja.com

Webアプリケーションの脆弱性スキャナーの提案？

私は古い管理ツールキット用の新しいツールを探しており、いくつかの提案を評価します。

SQLインジェクションの機会をチェックするとともに、XSS（クロスサイトスクリプティング）の脆弱性について、いくつかのWebサイトの「自動」テストを実行したいと思います。自動化されたツールアプローチが必ずしも唯一のまたは最良の解決策ではないことを理解していますが、それが私に良いスタートを与えることを願っています。

スキャンする必要のあるサイトは、PHP/MySQLからColdfusionまでのスタックの範囲をカバーしており、いくつかの古典的なASPとASP.NETが適切に混在しています。

Webアプリケーションの脆弱性をスキャンするためにどのツールを使用しますか？

（私はサーバー自体ではなく、Webアプリに直接焦点を合わせていることに注意してください）。

securitywebweb-applicationsvulnerabilities
5
Chris_K

wapiti -から良い結果が得られました。Webフォームをスキャンし、それらに対してインジェクションとXSS攻撃を試みます。

時間があれば、 backtrack ディストリビューションを入手することをお勧めします-これは、nikto、wapiti、openVAS（nessusのフォーク）および他の何百もの優れたセキュリティ監査がロードされた変更されたubuntuliveCDですツール;私はいくつかの監査でそれを使用し、良い結果が得られました-それは間違いなくその上のツールを探索する価値があります。

Nikto ステップバイステップガイドはこちら を参照してください。

7
Tim Howland

から始めて、
Insecure.orgのトップ10リスト -すばらしい Nmap

そのリストで見逃されているように見える他のいくつかのこと、

3
nik

チェックアウト 日東

3
HTTP500

Paros Proxyは、スパイダリングと自動スキャンを実行できるプロキシです。

これはそれをテストするための短いマニュアルです：

  • Lauch paros.jar
  • ブラウザプロキシをlocalhost：8080に設定します
  • 分析するページをナビゲートします
  • 「分析->スパイダー...」オプションを使用してリストを完成させます。
  • 自動スキャンを実行します '分析->すべてスキャン'
  • レポートを生成する 'レポート->最終スキャンレポート'

また、w3afも気に入っています。これは、メタスプロイトと同様の方法で、Webアプリ用のWebアプリ分析用のより高度なツールです。 。

2
chmeee

私が使用し、かなり幸運に恵まれたいくつかのツールは次のとおりです。

  • BurpProxy
  • HP WebInspect（費用がかかる）
  • Google RatProxy（サイトを閲覧する必要がありますが、問題なく動作し、無料です）
  • Fortify（スキャナーではありませんが、ものを見つけるのは非常に得意です）
  • ベリコード

CenzicHailstromからもまともな結果を見てきました。

1
atk

Selenium などを使用して、Webアプリを実行するいくつかの機能テストを作成します。次に、 ratproxy を設定し、テストを再実行します。 Ratproxyは、XSS、XSRF、およびその他の種類の脆弱性を検出します。

自動テストなしでratproxyを使用して、いくつかの手動テストを実行することもできます。自動テストにより、問題が修正されたと思った後の再実行が簡単になります。

0
CoverosGene

私は無料のオンラインXSSスキャナーツールを使用しています： リンクテキスト

0
Jess