Un rapport intéressant de Symantec révèle, 1 site Web sur 10 contenait un ou plusieurs codes malveillants.

Et, si vous utilisez WordPress, dans un autre rapport de SUCURI spectacles, 49 % des sites Web numérisés étaient obsolètes.

En tant que propriétaire d'une application Web, comment vous assurez-vous que votre site est protégé contre les menaces en ligne? Ne divulgue pas d'informations sensibles?

Si vous utilisez un solution de sécurité basée sur le cloud, alors très probablement, une analyse régulière des vulnérabilités fait partie du plan. Cependant, sinon, vous devez effectuer une analyse de routine et prendre les mesures nécessaires pour atténuer les risques.

Il existe deux types de scanner.

Commercial - vous donner une option pour automatiser l'analyse pour une sécurité continue, rapports, alertes, instructions d'atténuation détaillées, etc. Certains des noms connus dans l'industrie sont:

  • Acunetix
  • Detectify
  • Qualys

Open Source / Gratuit - vous pouvez télécharger et effectuer une analyse de sécurité à la demande. Tous ne pourront pas couvrir un large éventail de vulnérabilités comme une vulnérabilité commerciale.

Jetons un coup d'œil au scanner de vulnérabilité Web open source suivant.

Arachni

Arachni, un scanner de sécurité haute performance basé sur le framework Ruby pour les applications Web modernes. Il est disponible dans un binaire portable pour Mac, Windows et Linux.

Pas seulement un site Web statique ou CMS de base, mais Arachni est capable de faire suivre les empreintes digitales de la plate-forme. Il effectue des contrôles actifs et passifs, à la fois.

  • Windows, Solaris, Linux, BSD, Unix
  • Nginx, Apache, Tomcat, IIS, jetée
  • Java, rubis, Python, ASP, PHP
  • Django, Rails, CherryPy, CakePHP, ASP.NET MVC, Symfony

Une partie de la détection des vulnérabilités sont:

  • Injection NoSQL / Blind / SQL / Code / LDAP / Commande / XPath
  • Falsification de requêtes intersites
  • Traversée de chemin
  • Inclusions de fichiers locaux / distants
  • Fractionnement de la réponse
  • Script inter-site
  • Redirections DOM non validées
  • Divulgation du code source

Vous avez la possibilité de prendre un rapport d'audit en HTML, XML, texte, JSON, YAML, etc.

Arachni vous permet d'étendre l'analyse au niveau suivant en tirant parti des plugins. Découvrez le complet Caractéristiques d'Arachni et téléchargez pour en faire l'expérience.

XssPy

Un scanner de vulnérabilité XSS (cross-site scripting) basé sur python est utilisé par de nombreuses organisations, notamment Microsoft, Stanford, Motorola, Informatica, etc.

XssPy par Faizan Ahmad est un outil intelligent. Il fait plutôt bien une chose. Au lieu de simplement vérifier la page d'accueil ou la page donnée, il vérifie l'intégralité du lien sur les sites Web.

XssPy vérifie également le sous-domaine, donc rien n'est laissé de côté.

w3af

w3af, un projet open-source démarré fin 2006, est alimenté par Python et disponible sur Linux et Windows OS. w3af est capable de détecter plus de 200 vulnérabilités, y compris le top 10 OWASP.

w3af vous laisse injecter des charges utiles aux en-têtes, URL, cookies, chaîne de requête, post-données, etc. pour exploiter l'application Web à des fins d'audit. Il prend en charge diverses méthodes de journalisation pour les rapports. Ex:

Ex:

  • CSV
  • HTML
  • CONSOL
  • Texte
  • XML
  • Email

Il est construit sur une architecture de plugin, et vous pouvez consulter tous les plugins disponibles ici.

Nikto

Un projet open-source sponsorisé par Netsparker vise à trouver une mauvaise configuration du serveur Web, des plugins et des vulnérabilités Web. Personne effectuer un test complet sur plus de 6500 éléments à risque.

Il prend en charge le proxy HTTP, SSL, avec ou authentification NTLM, etc. et peut définir le temps d'exécution maximum par scan cible.

Personne est également disponible dans Kali Linux.

Il semble prometteur pour la solution intranet de détecter les risques de sécurité des serveurs Web.

Wfuzz

wfuzz (The Web Fuzzer) est un outil d'évaluation des applications pour les tests de pénétration. Vous pouvez flouter les données de la requête HTTP pour n'importe quel champ afin d'exploiter l'application Web et d'auditer les applications Web.

Wfuzz nécessite l'installation de Python sur l'ordinateur sur lequel vous souhaitez exécuter l'analyse. Il est devenu excellent Documentation pour que vous le commenciez.

OWASP ZAP

ZAP (Zet Attack Proxy) est l'un des célèbres outils de test de pénétration qui est activement mis à jour par des centaines de volontaires dans le monde.

C'est un outil multiplateforme basé sur Java qui peut fonctionner même sur Raspberry Pi. ZIP se situe entre un navigateur et une application Web pour intercepter et inspecter les messages

Certains des éléments suivants valent la peine de mentionner les fonctionnalités de ZAP.

  • Fuzzer
  • Scanner automatisé et passif
  • Prend en charge plusieurs langages de script
  • Navigation forcée

Je recommande vivement de vérifier Vidéos du didacticiel OWASP ZAP pour que ça commence.

Wapiti

Wapiti analyse les pages Web d'une cible donnée et recherche des scripts et des formulaires pour injecter les données pour voir si cela est vulnérable. Ce n'est pas un contrôle de sécurité du code source; à la place, il effectue des analyses de boîte noire.

Il prend en charge la méthode HTTP GET et POST, les proxys HTTP et HTTPS, plusieurs authentifications, etc.

Vega

Vega est développé par Subgraph, un outil compatible multi-plateforme écrit en Java pour trouver XSS, SQLi, RFI et de nombreuses autres vulnérabilités.

Vega a une belle interface graphique et est capable d'effectuer une analyse automatisée en se connectant à une application avec une information d'identification donnée.

Si vous êtes développeur, vous pouvez utiliser l'API vega pour créer de nouveaux modules d'attaque.

SQLmap

Comme vous pouvez le deviner par son nom, avec l'aide du sqlmap, vous pouvez effectuer des tests de pénétration sur une base de données pour trouver des failles.

Il fonctionne avec Python 2.6 ou 2.7 sur n'importe quel système d'exploitation. Si vous cherchez à trouver une injection SQL et exploiter la base de données, alors sqlmap serait utile.

Grabber

C'est un petit outil basé sur Python et fait assez bien certaines choses. Certains Grabber's les fonctionnalités sont:

  • Analyseur de code source JavaScript
  • Scripts intersites, injection SQL, injection SQL aveugle
  • Test d'application PHP avec PHP-SAT

Golismero

Un framework pour gérer et exécuter certains des outils de sécurité populaires tels que Wfuzz, DNS Recon, sqlmap, OpenVas, analyseur de robot, etc.).

Golismero est intelligent; il peut consolider les commentaires de test d'autres outils et fusionner pour afficher un seul résultat.

OWASP Xenotix XSS

Xenotix XSS by OWASP est un framework avancé pour rechercher et exploiter les scripts intersites. Il a intégré trois fuzzers intelligents pour une analyse rapide et des résultats améliorés.

Il a des centaines de fonctionnalités, et vous pouvez Découvrez tous les énumérés ici.

Conclusion

La sécurité Web est essentielle à toute entreprise en ligne, et j'espère que le scanner de vulnérabilités gratuit / open source répertorié ci-dessus vous aidera à trouver les risques afin que vous puissiez les atténuer avant que quelqu'un n'en profite. Si vous souhaitez en savoir plus sur les tests d'intrusion, consultez ceci Cours en ligne.