Увод у Алате за тестирање сигурности
Сигурност је ових дана постала важна брига. Са порастом ИТ сектора, свакодневно се отвара обиман број нових веб локација, па се повећавају и нови методи хаковања. Постало је веома важно да се веб локација и његови подаци осигурају приватним подацима корисника и организација како би се процурило или приступало неовлашћеним корисницима. Већина организација ангажује људе за тестирање безбедности на својој веб локацији јер помаже у проналажењу пропуста и рупа на њиховој веб локацији пре него што их пусти у производно окружење. На тржишту за сигурносно тестирање веб апликација доступни су бројни алати без плаћања, бесплатног и отвореног кода.
Алати безбедносног тестирања
Разумејмо неке од алата за испитивање безбедности, једну по једну.
1. Нетспаркер
Нетспаркер је један од најбољих и тачнијих алата који се користе на тржишту веба
сигурност апликација. Користило је непробојно скенирање да би аутоматски потврдило лажне позитивне резултате. Користи се за проналажење рањивости попут СКЛ убризгавања и Цросс-Сите Сцриптинг у веб апликацијама. Покрива више од 1000 рањивости и лако се интегрише са било којом ЦИ / ЦД апликацијом у којој је процес проналажења рањивости у потпуности аутоматизиран и постављен на систем за праћење грешака. Алат се врло лако поставља и користи, а на арматурној табли приказује рањивости које је врло лако прочитати и разумети.
2. СонарКубе
- СонарКубе је алат за тестирање софтвера отвореног кода који се користи за мерење квалитета кода заједно са проналажењем рањивости. Такође наглашава озбиљне проблеме са меморијом у коду. СонарКубе је написан на Јави, али може да ради на више од 20 језика.
- СонарКубе је способан да нађе рањивости попут крижања на различитим локацијама, СКЛ убризгавања, проблема са меморијом, поделе ХТТП одговора, итд. Може да пронађе шкакљиве недостатке попут изузетака нулте точке, логичке грешке, итд. СонарКубе се лако интегрише са било којим ЦИ / ЦД-ом апликација. Омогућава посебну капију квалитета која говори о квалитету целе апликације да ли је применљиво да се пушта у производњу или не.
3. В3аф
В3аф је један од популарних и отвореног кода алат за веб безбедност доступан на тржишту. Написана је на Питхон-у и покрива више од 200 питања сигурности. Обухвата теме попут Блинд СКЛ убризгавања, Буффер Оверфлов, Цросс-Сите Сцриптинг, ЦСРФ итд.
В3аф пружа ГУИ за нове људе док за стручњаке такође има интерфејс конзоле. Корисницима пружа фантастичну подршку за аутентификацију и нуди могућност записивања излаза у датотеку, е-пошту или конзолу у складу са специфичним захтевима.
4. ЗЕД Аттацк Проки (ЗАП)
ЗАП је алат за тестирање отвореног кода који се може покретати на више платформи. Написана је на Јави и покрива толико сигурносних рањивости. Омогућава и ГУИ и командну линију како би се олакшао рад и за нове људе и стручњаке. ЗАП излаже КССС ињекције, СКЛ убризгавање, Откривање грешака у апликацијама, Приватно откривање ИП-а итд. Омогућава апликацијски скенер, подршку за аутентификацију, подршку за веб соцкет, АЈАКС пауке итд. Може се користити и као скенер / филтер за неку апликацију.
5. Бурп Суите
Бурп Суите је оквир за тестирање веб продора који је написан на Јави. Има различита издања попут Цоммунити Едитион, Профессионал и Ентерприсе Едитион. Иако је издање за заједницу бесплатно, издање Профессионал анд Ентерприсе наплаћује се након пробног периода. Плаћена верзија има много напредних алата као што су паук, репетитор, декодер итд. Док бесплатна верзија пружа само основне услуге.
Бурп Суите покрива више од 100 рањивости и даје резултате на врло анализиран и интерактиван начин. Резултати у Бурп Суите приказују се на дрвету, тј. Може се детаљити о рањивости тако што се изврши бушење у одређеној грани. Такође пружа Јавасцрипт анализу користећи статичке и динамичке технике.
6. Вапити
Вапити је један ефикасан алат отвореног кода који је доступан за тестирање безбедности
апликација. Пружа само интерфејс командне линије и без ГУИ што почетницима мало отежава рад на њему. Требало би да имате потпуно знање о командама пре него што радите на Вапитију. Разликује се од осталих алата на тржишту јер помаже у тестирању апликације црне кутије.
Вапити убризгава корисни терет на различитим локацијама да провјери сигурност апликације. Такође омогућава методе ГЕТ и ПОСТ за тестирање сигурности. Вапити идентификује убризгавање базе података, откривање датотека, КССС убризгавање, убризгавање КСКСЕ, потенцијално опасне датотеке и сл. Може генерисати извештај о рањивости у различитим форматима (као што су ХТМЛ, КСМЛ, .ткт, итд.).
7. СКЛМап
СКЛМап је софтвер отвореног кода који се користи за проналажење рањивости СКЛ убризгавања. То
аутоматизује читав процес откривања и искоришћавања СКЛ ињекције у бази података
било која апликација. Подржава широк спектар база података као што су Мицрософт СКЛ Сервер, Мицрософт Аццесс, СКЛите, МиСКЛ, Орацле, итд. Подржава преузимање и уплоад било које датотеке са сервера базе података.
СКЛМап се може директно повезати с базом података заобилазећи СКЛ ињекције. Подржава различите СКЛ технике убризгавања као што су временски засноване слепе, засноване на грешкама, сложени упити, слепо засноване на боолеу и ван опсега. Има јак механизам претраге и способан је да претражује одређене називе базе података и његове ступце по табелама база података.
8. Вега
Вега је алат за веб безбедност отвореног кода за тестирање сигурности апликације. Написана је на Јави и подржава ГУИ који олакшава употребу и за нове људе и за искусне. Може вам помоћи у проналажењу скрипта на више места, проналажењу и потврђивању СКЛ убризгавања, убризгавању шкољке, удаљеној датотеци, итд. Садржи аутоматизовани скенер који помаже у брзим тестовима. Вега може да ради на више платформи као што су Виндовс, Уник, Линук и Мац ОС. Вега је написана на Јавасцрипту и проширива је, тј. Корисник може креирати више модула напада у складу са специфичним захтевима користећи богат АПИ и може извршити ССЛ пресретање за Хттп веб локације.
Закључак:
На тржишту је доступно пуно алата за тестирање сигурности и превише отвореног кода. Надам се да вам горе наведени алати дају идеју о томе како различити алати за тестирање пружају своје специфичне услуге тестирања. Пре употребе било ког алата за безбедносно тестирање ваше апликације, веома је важно детаљно разумети алат и знати да ли он служи одређеној сврси или не. Веома уредне и чисте, богате документоване веб странице доступне су на интернету за сваки алат који доказује потпуни водич за кориснике. Сада су скоро сви алати објављени са својим лепим ГУИ-ом како би се олакшали нови људи који раде на њима.
Препоручени чланци
Ово је водич за Алатке за тестирање сигурности. Овде смо расправљали о уводу у Алате за тестирање сигурности и различитим врстама алата за тестирање сигурности. Можете и да прођете кроз друге наше предложене чланке да бисте сазнали више -
- Безбедност веб апликација
- Селениум Аутоматион Тестинг
- Питања о интервјуу за ИТ безбедност
- Тестирање система
- Технике испитивања црне кутије