Нулевая конфигурация, автоматизированные, случайные инструменты тестирования для веб-приложений?
Короче говоря, я ищу инструмент для выполнения автоматизированного, нулевой конфигурации, видимого во всех деталях нападения на веб-приложение.
Я думаю, что это логически было бы расширением браузера, которое обе проверки связывают на данном домене/пути, И случайным образом вводят данные в формы и отправляют их. А именно, вход формы случайным образом включал бы различные типы данных, специальные символы, чрезмерные данные, различные кодировки символов и нулевые значения. Многопоточность является необходимостью (возможно, один плагин, просто использующий несколько вкладок Firefox).
Инструмент НЕ делает (и не должен), должен сделать любые утверждения о результатах или проверить любое поведение приложения. Вместо этого слой персистентности (записи DB, и т.д.) и журналы приложений использовался бы для оценки результатов этого "усилия по тестированию".
Это было бы инструментом для дополнения существующих инструментов тестирования (Селен, QuickTestPro) и методологии, которые не могут иметь 100%-го покрытия.
Какие-либо предложения для существующего или в средствах разработки? В противном случае я стремлюсь запустить проект с открытым исходным кодом.
РАЗЪЯСНЕНИЕ: Я конкретно не ищу инструмент тестирования на возможность проникновения.
ОБНОВЛЕНИЕ: Я основал проект с открытым исходным кодом удовлетворить этот вопрос. См. комментарии ниже.
4 ответа
Как насчет паросе? http://www.parosproxy.org/functions.shtml
Я некоторое время использовал пробную версию Acunetix . Это казалось достаточно эффективным, хотя это заняло больше времени, чем я думал, и это, конечно, не открытый исходный код.
Я забыл, как эта штука называется, и этот список ПО QATest находится там, где я нашел ее снова. Этот список может быть вам полезен. Список средств тестирования в OWASP выглядит также удобным.
Это звучит как инструмент тестирования FUZZ, может быть то, что вам нужно; Инструменты, такие как WAPITI , сканируют ваше приложение, ищущий параметризованные URL-адреса и формы для заполнения и использования случайно сгенерированных данных для их осуществления.
Я не уверен, что я наткнулся на потомство, что это точно подходит, но Сульли довольно близко ...
http://code.google.com/p/ Sulley /
Я никогда не использовал его из первых рук, но я слышал, как он упоминал. Кроме того, возможно, проверить это: