10 Open Source Web Security Scanner zum Auffinden von Sicherheitslücken

Wie stellen Sie als Inhaber einer Webanwendung sicher, dass Ihre Website vor Online-Bedrohungen geschützt ist? Leckt keine vertraulichen Informationen?

Ein interessanter Bericht von Symantec revEs heißt, dass eine von zehn Websites einen oder mehrere Schadcodes enthielt.

Und wenn Sie WordPress verwenden, dann ein weiterer Bericht von SUCURI erklärt 49.8% der gescannten Websites waren veraltetated.

Wenn Sie ein Cloud-basierte SicherheitslösungDann ist höchstwahrscheinlich ein regelmäßiger Schwachstellenscan Teil des Plans. Wenn dies jedoch nicht der Fall ist, müssen Sie einen Routinescan durchführen und die erforderlichen Maßnahmen zur Schadensbegrenzung ergreifenate Die Risiken.

Es gibt zwei Arten von Scannern.

Gewerbe – gibt Ihnen die Möglichkeit, automatisch zu arbeitenate das Scannen für kontinuierliche Sicherheit, Berichterstattung, Warnungen, detaillierte Anweisungen zur Schadensbegrenzung usw. Einige der bekannten Namen in der Branche sind:

• Acunetix
• Detectify
• Qualys

Open Source / Kostenlos - Sie können bei Bedarf einen Sicherheitsscan herunterladen und durchführen. Nicht alle von ihnen werden in der Lage sein, ein breites Spektrum von Sicherheitslücken wie eine kommerzielle abzudecken.

Schauen wir uns den folgenden Open-Source-Web-Schwachstellenscanner an.

Suche

'Suche' ist ein beliebtes Webverzeichnis- und Dateiaufzählungstool, das zum Auffinden versteckter Verzeichnisse und Dateien auf einem Webserver verwendet wird.

Es handelt sich um ein in Python geschriebenes Befehlszeilentool, das häufig von Penetrationstestern verwendet wird, um Fehlkonfigurationen und vertrauliche Dateien zu identifizieren, die nicht öffentlich zugänglich sein sollten.

Eigenschaften

• Verzeichnis Brute-Forcing
• Benutzerdefinierte Wortlisten
• Unterstützung von HTTP-Methoden
• Erweiterungserkennung (kann nach Dateien mit bestimmten Erweiterungen wie .php, .txt, .html usw. suchen)
• Concurrent Anfragen zur Beschleunigung der Aufzählung process.
• Positiv-/Negativ-Match-Filterung
• Verwendet den rekursiven Modus, um nach Dateien zu suchen.

Es funktioniert, indem es eine Reihe von HTTP-Anfragen an den Ziel-Webserver sendet und dann versucht, auf eine vordefinierte Liste gemeinsamer Verzeichnisse zuzugreifen.

Wenn eine Datei gefunden wird, meldet dirsearch dies mit Angabe der Angabeates, dass die Datei der Öffentlichkeit zugänglich gemacht werden kann.

reNgine

reNgine ist ein fortschrittliches Webanwendungs-Aufklärungstool, das Penetrationstestern dabei hilft, potenzielle Schwachstellen und die Angriffsfläche von Webanwendungen zu identifizieren.

Es bietet über seine Engines eine hochgradig anpassbare und leistungsstarke Scanfunktion, die es Benutzern ermöglicht, das Scannen zu konfigurieren und zu optimieren process nach ihren Bedürfnissen.

Eigenschaften

• Hochgradig konfigurierbare Scan-Engines
• Korrelation von Aufklärungsdaten
• Kontinuierlich Monitoring to make sure the security posture of the application remains up-to-date.
• Datenbankgestützte Aufklärungsdaten für den Zugriff und die Analyse der Ergebnisse, wann immer der Benutzer dies wünscht.
• Einfache Benutzeroberfläche

Darüber hinaus ermöglicht die Funktion „Sub-Scan & Deeper Correlation“ Benutzern, bestimmte Teile der Anwendung oder einzelne Komponenten separat zu scannenately.

w3af

w3af (Web Application Attack & Audit Framework), ein Open-Source-Projekt, begann bereits in late 2006. w3af ist in Python geschrieben und ermöglicht Benutzern das Entdecken und Ausnutzen verschiedener Sicherheitsprobleme, einschließlich OWASPs.

Das Hauptziel von w3af besteht darin, Sicherheitstester und Entwickler bei der Stärkung der Sicherheit von Webanwendungen zu unterstützen.

Und hier ist ein Liste von Schwachstellen, die w3af scannen kann.

Eigenschaften

• Benutzer können erstellenate Plugins und Skripte basierend auf ihren spezifischen Anforderungen.
• Es kann auch betrieben werdenate im HTTP-Proxy-Modus, der es Benutzern ermöglicht, HTTP-Transaktionen abzufangen und zu ändern.
• Generate detaillierte Berichte über die identifizierten Schwachstellen und die während des Tests durchgeführten Schritte process.

Es basiert auf einer Plugin-Architektur, und Sie können alle überprüfen Plugins finden Sie hier.

Niemand

Niemand ist ein Open-Source-Scanner (GPL), der vollständige Tests für Webserver durchführt, um Sicherheitslücken und Konfigurationsprobleme zu identifizieren.

Nikto identifies web servers and software running on the target server, which gives administrators a better understanding of their system’s setup.

Eigenschaften

• Unterstützung für SSL und vollständigen HTTP-Proxy.
• Customizable reports using a template engine.
• Möglichkeit, mehrere Ports auf einem oder mehreren Servern über eine Eingabedatei zu scannen
• Scan-Optimierung, um ganze Klassen von Schwachstellenprüfungen einzuschließen oder auszuschließen.
• Verbesserte Falsch-Positiv-Reduzierung mithilfe verschiedener Methoden wie Kopfzeilen, Seiteninhalt und Inhalts-Hashing.
• Hostauthentifizierung mit Basic- und NTLM-Methoden.

Nikto ist nicht als heimliches Tool konzipiert, sondern zielt darauf ab, Webserver so schnell wie möglich zu testen. Seine Aktivitäten sind häufig in Protokolldateien oder in IPS/IDS-Systemen sichtbar. Es unterstützt jedoch die Anti-IDS-Methoden von LibWhisker, die Benutzern dabei helfen können, ihre IDS-Systeme zu testen oder in bestimmten Szenarien zu versuchen, der Erkennung zu entgehen.

Und hier ist ein Artikel darüber wie man den Nikto-Scanner verwendet um Schwachstellen in Webservern zu finden. Besuchen Sie gerne diese Seite.

wfuzz

wfuzz (Web Fuzzer) ist ein Bewerbungsbewertungstool für . Sie können die Daten in der HTTP-Anfrage für jedes Feld fuzzen, um die Webanwendungen auszunutzen und zu prüfen.

Es unterstützt auch Brute-Force-Angriffe indem es Benutzern ermöglicht wird, mehrere Werte für bestimmte Parameter zu testen. Dies kann besonders nützlich sein, um schwache Anmeldeinformationen oder vertrauliche Informationen zu entdecken, die durch falsche Konfigurationen offengelegt werden könnten.

Eigenschaften

• Nutzlastanpassungs- und Fuzzing-Funktionen, die verschiedene Teile von HTTP-Anfragen, einschließlich Parametern, Headern und Cookies, unscharf machen, um Schwachstellen bei der Eingabevalidierung zu identifizieren.
• Wfuzz ist als modulares Framework aufgebaut. So wird es für Entwickler einfach sein, Creations zu erstellenate & integrate benutzerdefinierte Plugins.
• HTTP-Header- und Authentifizierungstests
• Wfuzz kann integrierbar seinated mit anderen Sicherheitstools wie Burp Suite. Es ermöglicht Benutzern die Nutzung von prevWichtige HTTP-Anfragen und -Antworten von anderen Tools.

Es kann auch Verzeichnis- und Datei-Fuzzzing durchführen, um vertrauliche Dateien und andere Ressourcen auf dem Webserver zu identifizieren.

OWASP ZAP

OWASP ZAP (Zed Attack Proxy) ist ein beliebtes Open-Source-Sicherheitsscanner- und Penetrationstest-Tool für Web-Apps. Die Nutzung ist kostenlos und wird von der OWASP-Community aktiv gepflegt, was es zu einer zuverlässigen Wahl für die Sicherung von Webanwendungen macht.

It’s a cross-platform Java-based tool that can run even on Raspberry Pi. ZAP sits between a browser und eine Webanwendung zum Abfangen & inspect Nachrichten.

Eigenschaften

• ZAP verfügt über eine Spidering-Funktion, die dabei hilft, alle zugänglichen Endpunkte innerhalb der Ziel-Webanwendung zu identifizieren und abzubilden.
• mit dem Autoated Scannen
• Es unterstützt manuelle Tests durch die Bereitstellung eines interaktiven Proxys. Benutzer können Anfragen zwischen dem Client und dem Server abfangen und ändern.
• ZAP unterstützt Fuzzier-Plugins zum Fuzz-Testen verschiedener Eingaben der Zielanwendung, um potenzielle Schwachstellen zu entdecken.

Und es kann auch integriert seinated in die Entwicklung und das Testen process über seine API. Wir empfehlen dringend, einen Blick darauf zu werfen OWASP ZAP Tutorial Videos um zu starten.

Wapiti

Wapiti ist ein weiterer leistungsstarker Schwachstellenscanner für Webanwendungen zur Bewertung der Sicherheit ihrer Websites.

Es ist in Betriebates als „Schwarz-box”-Scanner – was bedeutet, dass kein Zugriff auf den Quellcode der Anwendung erforderlich ist. Stattdessen analysiert es die bereitgestellte Webanwendung, indem es deren Webseiten crawlt und nach potenziellen Schwachstellen sucht.

Eigenschaften

• Die Schwachstellenabdeckung umfasst die Erkennung von Dateioffenlegungen, die Injektion von XXE (XML eXternal Entity), die CRLF-Injektion, offene Weiterleitungen und mehr.
• HTTP-Methoden und Payload-Injection
• Unterstützt HTTP/HTTPS/SOCKS5-Proxys und ermöglicht die Authentifizierung über Basic, Digest, NTLM oder GET/POST auf Anmeldeformularen.
• Benutzer können aktivierenate oder deaktivierenate SSL-Zertifikatate Überprüfung während des Scans.
• Importiert Cookies aus Chrome oder Firefox browsers und unterstützt den MITM-Proxy, um das Ziel mithilfe des b des Benutzers zu erkundenrowser.

Wapiti bietet mehrere Optionen, um das Verhalten des Crawlers zu steuern, z. B. das Überspringen bestimmter Parameternamen während des Angriffs oder das Festlegen einer maximalen Zeit für den Scan process, Hinzufügen benutzerdefinierter HTTP-Header und mehr.

Vega

Vega is developed by Subgraph – a multi-platform supported tool written in Java to find XSS, SQLi, RFI, and many other vulnerabilities. The built-in automated scanner ist für schnelle und effiziente Sicherheitstests konzipiert.

Es kann Webanwendungen durchsuchen, nach verschiedenen Schwachstellen suchen und die Ergebnisse dem Benutzer melden.

Eigenschaften

• Die Funktion „Intercepting Proxy“ kann SSL-Abfangen für HTTP-Websites durchführen und verschlüsselten Datenverkehr analysieren.
• multi-PlatFormular Support
• Der Proxy kann so konfiguriert werden, dass er Angriffsmodule ausführt, während der Benutzer browsing der Zielseite.

Wenn Sie ein Entwickler sind, können Sie leverAlter Vega-API zur Erstellungate neue Angriffsmodule.

SQLmap

SQLmap ist ein Open-Source pentestWerkzeug, das automates die process zur Erkennung und Ausnutzung von SQL-Injection-Schwachstellen in Webanwendungen.

Dieses Tool bewertetates die Antworten und konstruierten Anfragen der Anwendung, um potenzielle Injektionspunkte zu finden.

Eigenschaften

• DBMS-Unterstützung, einschließlich MySQL, Oracle, PostgreSQL, SQLite und viele andere.
• Aufzählung von Datenbankinformationen
• Unterstützt verschiedene SQL-Injection Techniken wie boolean-basiertes Blind, zeitbasiertes Blind, fehlerbasiertes und UNION-Abfrage-basiertes Verfahren.
• Direkte Datenbankverbindung
• Passwort-Hash-Cracking
• Daten-Dumping
• ArbitRegelmäßige Befehlsausführung auf einem zugrunde liegenden Betriebssystem für unterstützte Systeme.

Und es kann auch extract-Informationen über das verwendete DBMS, wie z. B. Typ, Version und Konfigurationsdetails. Dies hilft Testern, die Umgebung zu verstehen, mit der sie es zu tun haben.

Grabber

Grabber ist ein einfacher und tragbarer Scanner, der entwickelt wurde, um Schwachstellen in kleinen Websites wie Kontaktanzeigen und Foren zu erkennen, aber er ist nicht für große Anwendungen gedacht.

Eigenschaften

• JavaScript-Quellcode-Analysator
• Cross-Site-Scripting, SQL-Injection, Blind-SQL-Injection
• Testen von PHP-Anwendungen mit PHP-SAT

Grabber identifiziert nur die Schwachstellen und bietet keine Lösungen. Nach der Erkennung wird es generiertatesa-Datei mit der Sitzungs-ID und Zeitstempeln für zukünftige statistische Analysen.

Schlussfolgerung

Web-Sicherheit ist für jedes Online-Geschäft von entscheidender Bedeutung, und ich hoffe, dass der oben aufgeführte kostenlose/Open-Source-Schwachstellenscanner Ihnen dabei hilft, Risiken zu erkennen und diese einzudämmenate bevor es jemand ausnutzt. Wenn Sie mehr über Penetrationstests erfahren möchten, schauen Sie sich dies an Online Kurs.

Sie können auch einige der besten lesen Tipps, die Sie vermeiden sollten Häufige Sicherheitslücken im Web.