Там межплатформенные инструменты должны записать нападения на XSS непосредственно в базу данных?
Я недавно нашел эту запись в блоге на инструменте, который пишет нападения на XSS непосредственно в базу данных. Это похоже на ужасно хороший способ отсканировать приложение для слабых мест в моих приложениях.
Я попытался работать на нем Моно, так как моей платформой разработки является Linux. К сожалению, это отказывает с a System.ArgumentNullException глубоко внутри Microsoft.Practices.EnterpriseLibrary и я, кажется, не могу найти достаточную информацию о программном обеспечении (это, кажется, однократный проект без домашней страницы и никакого дальнейшего развития).
Кто-либо знает о подобном инструменте? Предпочтительно это должно быть:
- межплатформенный (Java, Python.NET, ровный межплатформенный C / Моно, ровный межплатформенный C в порядке),
- открытый исходный код (мне действительно нравится способность контролировать мои средства обеспечения безопасности),
- способный говорить с широким спектром продуктов DB (большие являются самыми важными: MySQL, Oracle, SQL Server...)
Править: Я хотел бы разъяснить свою цель: я хотел бы инструмент, который непосредственно пишет результат успешного инжекционного нападения XSS/SQL в базу данных. Идея состоит в том, что я хочу проверить, что каждое место в моем приложении действительно исправляет выходное кодирование. При обнаружении и предотвращении данных, добирающихся, во-первых существует совершенно другая вещь (и не могло бы быть возможным, когда я отображаю данные, это записано в DB сторонним приложением).
Редактирование 2: Corneliu Tusnea, автор инструмента, который я связал с вышеупомянутым, с тех пор выпустил инструмент как бесплатное программное обеспечение на codeplex: http://xssattack.codeplex.com/
5 ответов
Я думаю, что у metasploit есть большинство необходимых вам атрибутов. Он может быть единственным, у которого есть все, что вы указали, поскольку все остальные, о которых я могу думать, имеют закрытый исходный код. Есть несколько существующих модулей, которые имеют дело с XSS, и один, в частности, вы должны взглянуть на: HTTP Microsoft SQL Injection Table XSS Infection. Судя по звукам этого модуля, он способен делать именно то, что вы хотите. Я считаю, что фреймворк написан на Ruby, и предполагается, что его можно легко расширить с помощью ваших собственных модулей, которые могут вам понадобиться / хочу сделать. Надеюсь, это поможет.
Здесь есть несколько подключаемых модулей Firefox для тестирования XSS: http://labs.securitycompass.com/index. php / exploit-me /
Мой друг хранит говоря, что php-ids довольно хороши. Я сам не пробовал, но похоже, что это примерно соответствует вашему описанию:
- Open Source (LGPL),
- Cross Platform - PHP отсутствует в вашем списке, но, может быть, это нормально?
- Обнаруживает «все виды XSS, SQL-инъекций, инъекций заголовков, обхода каталогов, RFE / LFI, DoS и LDAP-атак» (это из FAQ)
- Журналы в базах данных.
Я не думаю, что существует такой инструмент, кроме того, на который вы нам указали. Я думаю, для этого есть веская причина: вероятно, это не лучший способ проверить, что каждый вывод правильно закодирован для применимого контекста.
Читая об этом инструменте, кажется, что основная идея состоит в том, чтобы вставить случайные векторы xss в базу данных, а затем вы просматриваете свое приложение, чтобы увидеть, удастся ли какой-либо из этих векторов. Это, мягко говоря, хитрость.
Я думаю, что гораздо лучше было бы выполнить проверку кода.
Возможно, вам будет полезно взглянуть на некоторые ресурсы, доступные на http://owasp.org , а именно на Стандарт проверки безопасности приложений (ASVS), Руководство по тестированию и Обзор кода. Руководство.
Не уверен, что это то, что вам нужно, это фаззер параметров для HTTP / HTTPS.
Я не использовал его какое-то время, но IIRC он действует как прокси-сервер между вами и рассматриваемым веб-приложением - и вставляет строки атаки XSS / SQL Injection в любые поля ввода, прежде чем решить, был ли ответ «интересным» или нет, независимо от того, уязвимо приложение или нет.
http://www.owasp.org/index.php/Category:OWASP_WebScarab_Project
Судя по вашему вопросу, я предполагаю, что это тип фаззера, который вы ищете, и один специально для XSS и веб-приложений. ; если я прав - тогда это может тебе помочь!
Это часть Открытого проекта безопасности веб-приложений (OWASP), с которой «jah» связал вас выше.