침투 테스트 도구[마감]

https://stackoverflow.com/questions/72166

09-06-2019
|

문제

우리는 수백 명의 웹사이트에 개발 된 asp,.net 및 java 고 우리는 지불을 위해 많은 돈을 외부 기관을 침투 테스트를 위해 우리의 위치를 확인하는 메시지를 보낼 것이다.이 있는(좋은)소프트웨어(지불 무료)하면 이렇게 할 수 있습니까?

니다.어떤 기술 문서 더욱 쉽게 확인할 수 있게 되었습니다 개발 도구입니까?

해결책

거기에 몇 가지 다른 방향으로 갈 수 있는 자동 테스트 도구를 위한 웹 응용 프로그램입니다.

첫째,거기에 상업적인 웹 스캐너, 는 HP WebInspect 이고 합리적인 AppScan 은 두 개의 가장 인기가 있습니다.이들은"all-in-one","화재 및 잊지"도구를 다운로드 및 설치에 대한 내부 Windows 바탕 화면 다음 URL 을 거미의 사이트 검사에 대한 잘 알려진 취약점을(즉,일들이 있는 히 버그 추적),그리고 프로브 교차 사이트 스크립팅 및 SQL injection 취약성을 검사합니다.

두 번째,거기에 소스 코드를 스캔 도구, 는 Coverity 고 강화는 아마 두 가지 가장 잘 알려져있다.이들은 도구에 설치하는 개발자의 데스크탑 프로세스의 Java 또는 C#소스 코드와 모양에 대한 잘 알려진 패턴의 안전하지 않은 코드,다음과 같이 가난한 입력 유효성 검사를 수행합니다.

마지막으로,거기에 침투 테스트 도구.가장 인기있는 웹 응용 프로그램 침투 테스트들 사이에서 도구를 보안 전문가들이 트림하는 스위트에서 찾을 수 있습니다 http://www.portswigger.net/proxy.다른 사람 포함한 스파이크 프록시와 OWASP WebScarab.다시,당신은 이것을 설치에 대한 내부 Windows 바탕 화면이 나타납니다.것으로 실행되는 프록시하는 HTTP,당신은 시점에서 귀하의 브라우저습니다.당신이 사용하여 응용 프로그램으로 정상적인 사용자,기록하면서 당신의 작업입니다.할 수 있습니다 다음 다시 이동하는 각 페이지 또는 HTTP 행동과 프로브 보안 문제입니다.

복잡한 환경에서,특히 고려하고 있다면 당신은 아무것도 DIY, 나는 강하게 추천 침투 테스트 도구.여기에는 이유:

상업적인 웹 스캐너을 많이 제공의"폭넓은"과 함께,우수한 보고입니다.그러나:

그들은 그것을 놓칠 것이기 때문에,모든 응용 프로그램은 다릅니다.
그들이 비싼(WebInspect 에서 시작 10 의 수천).
당신이 물건을 지불할 필요가 없(같은 데이터베이스의 알려진 나 Cgi 에서는'90).
그들은 열심히 사용자 정의합니다.
그들은 생산할 수 있는 시끄러운 결과입니다.

소스 코드 스캐너 보다 더 철저 웹 스캐너입니다.그러나:

그들은 그보다 더 비싼 웹 스캐너입니다.
그들이 필요로 하는 소스 코드를 작동합니다.
효과적,그들은 종종에 당신을 필요로 주석의 소스 코드를(예를 들어,선택하는 입력 경로).
그들이는 경향이 있을 생산하는 틀린 확실성.

상업용 스캐너와 소스 코드 스캐너가 있는 나쁜 습관이 되 shelfware.더 나쁠 경우에도,그들이 일,그들의 비용 비교를 얻는 1 또는 2 전체 응용 프로그램에 의해 감사하는 컨설팅;당신이 신뢰하는 경우 컨설팅,당신은 세계 최고가 되기 위해 더 나은 결과를 얻을에서 그들 보다에서 도구입니다.

침투 테스트 도구를 단점이 있다:

그들은 더 힘들어 사용하기보다는 화재 및 잊지 상업적 스캐너입니다.
그들은 가정 일부 전문 지식 웹 애플리케이션 취약점---당신은 무엇을 알고 있습니다.
그들은 거의 없거나 형식적인 보고입니다.

다른 한편으로:

그들은 훨씬,훨씬 저렴---최고의 많은,트림 스위트,비용만 99EU,그리고 무료 버전입니다.
그들은 쉽게 사용자 정의하고 추가 테스트합니다.
그들은 더 나은 당신을 돕기에"알고"초기 단계에서부터 애플리케이션 내부입니다.

여기에서 뭔가를 할 것으로 펜 테스트 도구에 대한 기본적인 웹 응용 프로그램:

로그 응용 프로그램을 통해 프록시
Create a"hit"목록에는 주요 기능 영역의 응용 프로그램과 운동을 한다.
를 사용하여"spider"구에서 당신의 펜 테스트 응용 프로그램 모든 페이지를 찾을 수 있 및 활동 및 처리기입니다.
각 동적 페이지고 각 HTML 형태로 거미 폭로,"를 사용 퍼 저 도구"(트 호출하는"침입자")운동하는 모든 매개 변수는 유효하지 않은 입력이 있습니다.가장 fuzzers 은 기본적인 테스트는 문자열을 포함한다:
- SQL 메타
- HTML/Javascript 이스케이프와 메타
- 국제화 개 이들을 회피하는 입력 필터
- 잘 알려진 기본 형태 필드의 이름과 값
- 잘 알려진 디렉토리 이름,파일 이름 및 처리기사
몇 시간을 보낼 필터링 결과 오류를(일반적인 경찰에 대한 실행 중 하나는 양식을 생성할 수 있습 1000 들)을 찾는 의심스러운 반응입니다.

이것은 노동 집약적,"베어메탈"접근 방식이다.그러나 때 당신의 회사 소유의 실제 응용 프로그램,벌거벗은 금속 접근 방식을 갚기 때문에,당신을 구축하는 데 사용할 수 있습 회귀분 테스트 실행되는 시계처럼에서는 각 개발 주기는 각 앱입니다.이 승리의 무리에 대한 이유:

귀하의 보안 시험이 예측 가능한 양의 시간과 리소스가 응용 프로그램별할 수 있는 예산 및 심사 등이 있습니다.
귀하의 팀을 얻을 것이 극대로 정확하고 철저한 결과,이후 테스트를 수정하는 응용 프로그램을 수행합니다.
가 비용보다 적은 상업적인 스캐너 보다 적은 컨설턴트입니다.

물론,이동하는 경우 이 경로,당신은 기본적으로 돌려 자신을 보안 컨설턴트를 위한 당신의 회사입니다.나는 생각하지 않는 것이 나쁜 것;당신이 원하지 않는 경우는 전문 지식,WebInspect 또는 강화하는 데 도움하지 않을 많습니다.

다른 팁

난 당신이 질문에 대해 구체적으로 pentesting 도구이지만 그 이후되었을 충분히 응답하(나는 보통의 혼합으로 AppScan 훈련 pentester),나는 그것을 지적하는 것이 중요하 pentesting 지 유일한 방법은"확인에 대한 보안 허점을",종종 지 않는 가장 효과적인.

소스 코드를 검토 도구를 제공할 수 있습이 훨씬 더 나은 가시성의 코드,그리고 많이 찾는 결함 pentesting 하지 않습니다.

이함을 강화하고 OunceLabs(비싸고 많은 언어의 경우),VisualStudio.NET CodeAnalysis(습니다.물 및 C++,무료 VSTS,괜찮은 아니지만 훌륭한),OWASP 의 경과한 자바(무료로 괜찮은 중대하지 않),CheckMarx(저렴하지,환상적인 도구이다.NET 및 Java 지만,높은 오버헤드),그리고 더 많은합니다.

중요한 포인트해야 합니다 참고-(가)자동화된 도구하지 않습을 찾아 모든 취약점,전혀 그렇지 않습니다.기대할 수 있습니다 자동화된 도구가 찾 약 35~40%의 secbugs 찾아볼 수 있는 전문가에 의해 pentester;같은 자동화를 위해 대동 소스 코드를 검토합니다.

그리고 물론 적절한 SDLC(보안을 개발 라이프사이클 포함)을 포함한 위협 모델링,디자인 등으로 도움이 될 것입니다,심지어다...

McAfee 안전한 솔루션되지 않습니다.그들이 제공하는 서비스는 농담이 아니다.

아래를 참조하십시오:

http://blogs.zdnet.com/security/?p=1092&tag=rbxccnbzd1
http://blogs.zdnet.com/security/?p=1068&tag=rbxccnbzd1
http://blogs.zdnet.com/security/?p=1114&tag=rbxccnbzd1

들을 대 SpiDynamics WebInspect 로 지불 솔루션뿐만 아니라,Nikto(에 대한 솔루션을 무료)등의 오픈 소스 도구입니다.Nessus 을위한 훌륭한 도구입니다 인프라는 필요하신 경우에는지 확인 레이어뿐만 아니라.당신이 선택할 수 있는 라이브 cd 여러 가지 도구와 그것에라 Nubuntu(Auditor 에 나선 또는 기타 보안 기반의 유통이 너무 작동)다음 구글 일부 튜토리얼에 대한 특정한 도구입니다.항상,항상 있는지 확인하는 검사에서 로컬 네트워크 하지만입니다.당신의 위험을 실행 자신을 차단하여 데이터 센터의 경우 검색 상자에서 완 없이 허가합니다.단원 하드 방법을 배웠습니다.;)

Skipfish,w3af,arachni,ratproxy,CC,WebScarab:모두 무료입니다 그리고 아주 좋은 IMO

http://www.nessus.org/nessus/ --Nessus 도움이 될 수 있는 방법을 제안합니다 당신의 서버에 더 낫습니다.그것은 할 수 없습니다 정말 사용자 지정 테스트 앱 자체적으로만 생각 플러그인은 상대적으로 쉽게 만들기 자신에 있습니다.

살펴보 합리적 응용 프로그램 검색 (사 Watchfire).그것의 자유로운,그러나 좋은 UI,은 죽은 강력한 보고서를 생성하고(맞춤과에 대한 표준 준수 프레임워크 등의 Basel2)고 믿을 수 있는 스크립트로 CI 니다.

는 방법에 대 nikto ?

이러한 유형의 테스트를 당신이 정말로 원하는 것을 보고 몇 가지 유형의 털을 시험합니다. 스파이크 프록시 은 하나의 몇 가지의 경찰서를 포함한 데이터 web apps.그것은 오픈 소스와 파이썬으로 만들어졌습니다.내가 믿고 있는 부부의 동영상에서는 블랙박스는 데프콘에 사용하여 스파이크 아웃이 어딘가에,그러나 나는 어려움을 겪을 찾는다.

거기에 몇 가지의 고급 전문 소프트웨어 패키지를 수행하는 웹 앱을 테스트하고 훨씬 더 있습니다.하나의 인기있는 도구는 것 CoreImpact

당신이 경우에 계획을 통해 펜 테스트에서 자신을 읽을 통해 많 OWASP 프로젝트의 문서.특히 OWASP 응용 프로그램의 보안 검증 및 테스트/개발 가이드에 있습니다.사고 방식 필요하신을 철저히 테스트하는 응용 프로그램은 다른 것보다 당신의 정상적인 발달 사고 방식(지 않는 달라야합니다,하지만 그것은 일반적으로).

에 대해 무엇 rat 프록시?

반자동은 크게 수동적인 웹사 응용 프로그램의 보안 감사 도구 최적화된 정확하고 민감한 검색 및 자동 주석의 잠재적인 문제고 보안과 관련된 디자인 패턴 에 따라 관찰의 기존의 사용자 시작되는 트래픽에서 복잡한 웹사 2.0 환경입니다.

검색하고 우선 순위를 넓은 클래스 의 보안 문제,동적 크로스 사이트에 신뢰 모델 고려 사항, 스크립트 문제를 포함,콘텐츠 제공,문제는 부족하여 xsrf 고 XSS 방어를,그리고 훨씬 더

Ratproxy 현재 지원하는 것으로 리눅스,FreeBSD,맥 os X,윈도우(Cygwin)환경입니다.

난 당신이 질문에 대해 구체적으로 pentesting 도구이지만 그 이후되었을 충분히 응답하(나는 보통의 혼합으로 AppScan 훈련 pentester),나는 그것을 지적하는 것이 중요하 pentesting 지 유일한 방법은"확인에 대한 보안 허점을",종종 가장 효과적입니다.

소스 코드를 검토 도구를 제공할 수 있습이 훨씬 더 나은 가시성의 코드,그리고 많이 찾는 결함 pentesting 하지 않습니다.

그리고 물론 적절한 SDLC(보안을 개발 라이프사이클 포함)을 포함한 위협 모델링,디자인 등으로 도움이 될 것입니다,심지어다...

이전 hackersafe McAfee 안전합니다.

라이센스 : CC-BY-SA ~와 함께 속성

제휴하지 않습니다 StackOverflow