标签: security-testing

您是否建议使用任何工具来进行Web应用程序的安全性测试？

我使用过OWASP的WebScarab,但发现它使用起来有点困难和笨拙.

你还建议使用其他更好的东西吗？

我最近在一个将XSS攻击直接写入数据库的工具上找到了这个博客条目.它看起来像是一种非常好的方法来扫描应用程序中的应用程序中的弱点.

我试图在Mono上运行它,因为我的开发平台是Linux.不幸的是,它System.ArgumentNullException内部崩溃,Microsoft.Practices.EnterpriseLibrary我似乎无法找到有关该软件的足够信息(它似乎是一个单一项目,没有主页,没有进一步的开发).

有人知道类似的工具吗？最好是:

• 跨平台(Java,Python,.NET/Mono,甚至是跨平台的C都可以)
• 开源(我真的很喜欢能够审核我的安全工具)
• 能够与各种数据库产品交流(最重要的是产品:MySQL,Oracle,SQL Server,...)

编辑:我想澄清一下我的目标:我想要一个直接将成功的XSS/SQL注入攻击结果写入数据库的工具.我的想法是,我想检查我的应用程序中的每个位置是否都正确输出编码.首先检测并避免数据到达那里是完全不同的事情(当我显示由第三方应用程序写入数据库的数据时可能无法实现).

编辑2: Corneliu Tusnea,我上面链接的工具的作者,后来在codeplex上发布了免费软件工具:http://xssattack.codeplex.com/

我正在寻找静态应用程序安全测试 (SAST) 工具，但我买不起商业产品（例如 Checkmarx）。

SonarQube 是一个很棒的静态代码分析工具，但我注意到只有少数“漏洞”类型的规则（“漏洞”等于“安全”，对吗？）。

我计划扩展一些自定义插件，包括很多漏洞规则（对于 C/C++、Java 和 SonarQube 支持的其他语言可能有数百条规则）。

这是使 SonarQube 成为“类似 Checkmarx”的工具的可行方法吗？还是 SonarQube 适合静态安全测试？（我不确定 Sonar Scanner 是否适合扫描安全问题）

非常感谢！

我是ZAP的新手,我仍在浏览文档和视频.

我的情景:

我导航到登录页面.我输入了一个密码错误的已知用户名.ZAP选择这个没问题.

我选择POST到登录页面.我找到包含用户名和密码的行.密码:ctl00%24ContentPlaceHolder1%24cpLoginAspx%24ctl00%24LoginControl1%24LTLogin%24Password = 12345&

我突出显示12345并右键单击以选择Fuzz.我已经为测试帐户输入了一个包含正确密码的自定义列表,我选择了该密码.

当我这样做时,它按照我的预期在列表中运行.将12345更改为列表中的各种选项.

但是,当它知道"我知道"这个词是正确的密码时.提醒我这是正确的,没有什么不同.在这种情况下,密码是Password5.我预计它会反映或显示它被引导到新页面.但是,对于测试用户来说,"密码"会发生这种情况.

我在Fuzzer选项卡中看到了这个:

任何建议或澄清将不胜感激.即使您可以在ZAP上推荐一些视频或阅读.

谢谢!