14 лучших сканеров уязвимостей веб-приложений с открытым исходным кодом

14 лучших сканеров уязвимостей веб-приложений с открытым исходным кодом

В прошлом многие популярные веб-сайты были взломаны. Хакеры активны и всегда пытаются взломать сайты и утечь данные. Вот почему тестирование безопасности веб-приложений очень важно. Именно здесь на помощь приходят сканеры безопасности веб-приложений. Сканер безопасности веб-приложений — это программа, которая выполняет автоматическое тестирование веб-приложения методом «черного ящика» и выявляет уязвимости в системе безопасности. Сканеры не имеют доступа к исходному коду; они выполняют только функциональное тестирование и пытаются найти уязвимости в системе безопасности. Существуют различные платные и бесплатные сканеры уязвимостей веб-приложений. В этом посте мы перечислим лучшие бесплатные сканеры уязвимостей веб-приложений с открытым исходным кодом. Я добавляю инструменты в случайном порядке, поэтому, пожалуйста, не думайте, что это рейтинг инструментов. Я добавляю только те инструменты с открытым исходным кодом, которые можно использовать для поиска уязвимостей в веб-приложениях. Я не добавляю инструменты для поиска уязвимостей в серверах. И не путайте бесплатные инструменты и инструменты с открытым исходным кодом! Существуют различные бесплатные инструменты, но они не предоставляют исходный код другим разработчикам. Инструменты с открытым исходным кодом — это те, которые предоставляют исходные коды разработчикам, чтобы разработчики могли модифицировать инструмент или помочь в дальнейшей разработке.

Grabber

Grabber — это сканер веб-приложений, который может обнаружить множество уязвимостей в веб-приложениях. Он выполняет сканирование и сообщает, где существует уязвимость. Он может обнаружить следующие уязвимости:

  • Межсайтовый скриптинг
  • SQL-инъекция
  • Тестирование Ajax
  • Включение файлов
  • Анализатор исходного кода JS
  • Проверка резервных копий файлов

Он не очень быстрый по сравнению с другими сканерами безопасности, но зато простой и портативный. Его следует использовать только для тестирования небольших веб-приложений, поскольку для сканирования больших приложений требуется слишком много времени. Этот инструмент не предлагает никакого интерфейса GUI. Он также не может создавать отчеты в формате PDF. Этот инструмент был разработан как простой и для личного использования. Если вы думаете о нем для профессионального использования, я не буду его рекомендовать. Этот инструмент был разработан на языке Python, и исполняемая версия также доступна, если вы хотите. Исходный код доступен, так что вы можете изменить его в соответствии с вашими потребностями. Основной скрипт — grabber.py, который после выполнения вызывает другие модули, такие как sql.py, xss.py или другие.

Vega

Vega — это еще один бесплатный сканер веб-уязвимостей с открытым исходным кодом и платформа для тестирования. С помощью этого инструмента можно проводить тестирование безопасности веб-приложений. Этот инструмент написан на Java и предлагает среду на основе графического интерфейса. Он доступен для OS X, Linux и Windows. С его помощью можно найти SQL-инъекции, инъекции в заголовки, листинг директорий, инъекции в оболочку, межсайтовый скриптинг, включение файлов и другие уязвимости веб-приложений. Этот инструмент также может быть расширен с помощью мощного API, написанного на JavaScript. При работе с инструментом можно задать несколько параметров, таких как общее число потомков пути, число дочерних путей узла, глубина и максимальное число запросов в секунду. Вы можете использовать Vega Scanner, Vega Proxy и Proxy Scanner, а также сканировать с помощью учетных данных.

Zed Attack Proxy

Zed Attack Proxy также известен как ZAP. Это инструмент с открытым исходным кодом, разработанный OWASP. Он доступен для платформ Windows, Unix/Linux и Macintosh. Мне лично нравится этот инструмент. Его можно использовать для поиска широкого спектра уязвимостей в веб-приложениях. Инструмент очень прост и легок в использовании. Даже если вы новичок в тестировании на проникновение, вы можете легко использовать этот инструмент, чтобы начать изучать тестирование на проникновение веб-приложений. Вот основные функциональные возможности ZAP:

  • Перехватывающий прокси
  • Автоматический сканер
  • Традиционные, но мощные пауки
  • Fuzzer
  • Поддержка веб-сокетов
  • Поддержка Plug-n-hack
  • Поддержка аутентификации
  • API на основе REST
  • Динамические SSL сертификаты
  • Поддержка смарт-карт и клиентских цифровых сертификатов

Вы можете использовать этот инструмент в качестве сканера, вводя URL для выполнения сканирования, или использовать этот инструмент в качестве перехватывающего прокси для ручного выполнения тестов на определенных страницах.

Wapiti

Wapiti — это сканер веб-уязвимостей, позволяющий проводить аудит безопасности ваших веб-приложений. Он выполняет тестирование «черного ящика», сканируя веб-страницы и внедряя данные. Он пытается внедрить полезную нагрузку и проверить, уязвим ли скрипт. Он поддерживает атаки GET и POSTHTTP и обнаруживает множество уязвимостей. Он может обнаружить следующие уязвимости:

  • Раскрытие файлов
  • Включение файлов
  • Межсайтовый скриптинг (XSS)
  • Обнаружение выполнения команд
  • Инъекция CRLF
  • Инъекция SEL и инъекция XPath
  • Слабая конфигурация .htaccess
  • Раскрытие файлов резервного копирования
  • Многие другие

Wapiti — это приложение командной строки, поэтому оно может оказаться непростым для новичков. Но для экспертов он будет работать хорошо. Для использования этого инструмента необходимо выучить множество команд, которые можно найти в официальной документации.

W3af

W3af — это популярная платформа для атак и аудита веб-приложений. Этот фреймворк призван обеспечить лучшую платформу для тестирования веб-приложений на проникновение. Он был разработан с использованием Python. Используя этот инструмент, вы сможете выявить более 200 видов уязвимостей веб-приложений, включая SQL-инъекции, межсайтовый скриптинг и многие другие. Он поставляется с графическим и консольным интерфейсом. Вы можете легко использовать его благодаря простому интерфейсу. Если вы используете графический интерфейс, я не думаю, что у вас возникнут какие-либо проблемы с этим инструментом. Вам нужно только выбрать параметры, а затем запустить сканер. Если сайт требует аутентификации, вы также можете использовать модули аутентификации для сканирования страниц, защищенных от сеансов. Мы уже подробно рассказывали об этом инструменте в нашей предыдущей серии статей о W3af. Вы можете прочитать эти статьи, чтобы узнать больше об этом инструменте.

WebScarab

WebScarab — это основанная на Java структура безопасности для анализа веб-приложений, использующих протокол HTTP или HTTPS. С помощью доступных плагинов вы можете расширить функциональность инструмента. Этот инструмент работает как перехватывающий прокси-сервер; вы можете просматривать запросы и ответы, поступающие в ваш браузер и отправляемые на сервер. Вы также можете изменить запрос или ответ до того, как они будут получены сервером или браузером. Если вы новичок, этот инструмент не для вас. Этот инструмент был разработан для тех, кто хорошо разбирается в протоколе HTTP и умеет писать коды. WebScarab предоставляет множество функций, которые помогают тестерам проникновения вплотную заняться веб-приложением и найти уязвимости в системе безопасности. Он имеет паука, который может автоматически находить новые URL-адреса целевого веб-сайта. Он может легко извлекать скрипты и HTML страницы. Прокси наблюдает за трафиком между сервером и вашим браузером, и вы можете взять под контроль запросы и ответы, используя доступные плагины. Доступные модули могут легко обнаружить наиболее распространенные уязвимости, такие как SQL-инъекции, XSS, CRLF и многие другие.

Skipfish

Skipfish — еще один хороший инструмент для обеспечения безопасности веб-приложений. Он просматривает веб-сайт, а затем проверяет каждую страницу на наличие различных угроз безопасности. В конце он готовит окончательный отчет. Этот инструмент написан на языке C. Он оптимизирован для работы с HTTP и использует минимальное количество процессора. Утверждается, что он может легко обрабатывать 2 000 запросов в секунду без дополнительной нагрузки на процессор. Он использует эвристический подход при поиске и тестировании веб-страниц и утверждает, что обеспечивает высокое качество и меньшее количество ложных срабатываний. Этот инструмент доступен для Linux, FreeBSD, MacOS X и Windows.

Ratproxy

Ratproxy — это инструмент аудита безопасности веб-приложений с открытым исходным кодом, который можно использовать для поиска уязвимостей в веб-приложениях. Он поддерживает среды Linux, FreeBSD, MacOS X и Windows (Cygwin). Этот инструмент разработан для преодоления проблем, с которыми обычно сталкиваются пользователи при использовании других прокси-инструментов для аудита безопасности. Он способен различать таблицы стилей CSS и коды JavaScript. Он также поддерживает атаку «человек посередине» SSL, что означает, что вы также можете видеть данные, проходящие через SSL.

SQLMap

SQLMap — еще один популярный инструмент тестирования на проникновение с открытым исходным кодом. Он автоматизирует процесс поиска и использования уязвимостей SQL-инъекций в базе данных веб-сайта. Он имеет мощный механизм обнаружения и множество полезных функций. Таким образом, тестировщик на проникновение может легко выполнить проверку сайта на наличие SQL-инъекций. Программа поддерживает целый ряд серверов баз данных, включая MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase и SAP MaxDB. Он обеспечивает полную поддержку шести видов методов SQL-инъекций: «слепой» на основе времени, «слепой» на основе булевых функций, на основе ошибок, UNION-запрос, стекированные запросы и внеполосные запросы.

Wfuzz

Wfuzz — еще один свободно распространяемый инструмент с открытым исходным кодом для тестирования веб-приложений на проникновение. Его можно использовать для перебора параметров GET и POST для тестирования на различные виды инъекций, такие как SQL, XSS, LDAP и многие другие. Он также поддерживает cookie fuzzing, многопоточность, SOCK, прокси, аутентификацию, перебор параметров, несколько прокси и многое другое. Этот инструмент не имеет графического интерфейса, поэтому вам придется работать с интерфейсом командной строки.

Grendel-Scan

Grendel-Scan — еще один хороший инструмент безопасности веб-приложений с открытым исходным кодом. Это автоматический инструмент для поиска уязвимостей безопасности в веб-приложениях. Многие функции также доступны для ручного тестирования на проникновение. Этот инструмент доступен для Windows, Linux и Macintosh и был разработан на Java.

Watcher

Watcher — это пассивный сканер веб-безопасности. Он не атакует с помощью большого количества запросов и не просматривает целевой веб-сайт. Это не отдельный инструмент, а дополнение к Fiddler, поэтому для его использования необходимо сначала установить Fiddler, а затем Watcher. Он спокойно анализирует запросы и ответы, поступающие от пользователей, а затем составляет отчет о работе приложения. Поскольку это пассивный сканер, он не повлияет на хостинг сайта или облачную инфраструктуру.

X5S

X5S — это дополнение к Fiddler, предназначенное для поиска уязвимостей межсайтового скриптинга. Это не автоматический инструмент, поэтому перед его использованием необходимо понять, как проблемы с кодировкой могут привести к XSS. Вам нужно вручную найти точку инъекции, а затем проверить, где в приложении может быть XSS. Мы уже рассказывали о X5S в одной из предыдущих статей. Вы можете обратиться к той статье, чтобы узнать больше о X5S и XSS.

Arachni

Arachni — это инструмент с открытым исходным кодом, разработанный для создания среды тестирования на проникновение. Этот инструмент может обнаруживать различные уязвимости безопасности веб-приложений. Он может обнаружить различные уязвимости, такие как SQL-инъекция, XSS, локальное включение файла, удаленное включение файла, невалидированное перенаправление и многие другие.

Заключительное слово

Это лучшие инструменты тестирования безопасности веб-приложений с открытым исходным кодом. Я постарался перечислить все инструменты, доступные в Интернете. Если инструмент не обновлялся в течение многих лет, я не стал упоминать его здесь; это связано с тем, что если инструменту более 10 лет, он может создавать проблемы совместимости в современной среде. Если вы являетесь разработчиком, вы также можете присоединиться к сообществу разработчиков этих инструментов и помочь им развиваться. Помогая этим инструментам, вы также повысите уровень своих знаний и опыта. Если вы хотите начать тестирование на проникновение, я рекомендую использовать дистрибутивы Linux, которые были созданы для тестирования на проникновение. К таким средам относятся Backtrack, Gnacktrack, Backbox и BlackBuntu. Все эти инструменты поставляются с различными бесплатными инструментами с открытым исходным кодом для тестирования на проникновение веб-сайтов.

Полное руководство по защите от скликивания вашей рекламы (72 стр.)
This is default text for notification bar

Конкуренты скликивают рекламу?

Подключите защиту и посмотрите, сколько ботов кликают на вашу контекстную рекламу Яндекс.Директ и оцените потери вашего бюджета! Если не понравится - мы вернем вам деньги.