Сканер уязвимостей сайта: Поиск уязвимостей на сайте — 12 лучших бесплатных инструментов

Поиск уязвимостей на сайте — 12 лучших бесплатных инструментов

Одним из наиболее важных вопросов в области информационных технологий является безопасность. Знаете ли вы, что 96% тестируемых приложений имеют уязвимости?

Ниже приведена диаграмма от Cenzic, на которой показаны различные типы найденных уязвимостей.

В этой статье я расскажу о бесплатных инструментах, позволяющих осуществить поиск уязвимостей на сайте, а также проверить его на наличие вредоносных программ.

Список рассматрива емых инструментов:

• Scan My Server;
• SUCURI;
• Qualys SSL Labs, Qualys FreeScan;
• Quttera;
• Detectify;
• SiteGuarding;
• Web Inspector;
• Acunetix;
• Asafa Web;
• Netsparker Cloud;
• UpGuard Web Scan;
• Tinfoil Security.

Сканер сайта онлайн ScanMyServer предоставляет один из самых полных отчетов по тестам безопасности: SQL-инъекциям, межсайтовому скриптингу, инъекциям PHP-кода, раскрытию источника, установке HTTP-заголовков и многое другое.

Отчет о проверке отправляется по электронной почте с кратким описанием найденных уязвимостей.

SUCURI является самым популярным бесплатным сканером вредоносных программ. Вы можете быстро проверить сайт на уязвимости онлайн, наличие вредоносного кода, SPAM-инъекций и его присутствие в различных черных списках.

SUCURI также очищает и защищает сайт от онлайн-угроз. Инструмент работает на любых CMS, включая WordPress, Joomla, Magento, Drupal, phpBB и т. д.

SSL Labs является одним из популярных инструментов для сканирования веб-сервера SSL. Он обеспечивает углубленный анализ https URL-адреса, общий рейтинг, шифр, версию SSL / TLS, имитацию рукопожатий, информацию о протоколе, BEAST и многое другое.

FreeScan проверяет сайты на OWASP Top Risks и вредоносные программы, по параметрам безопасности SCP, а также выполняет другие тесты. Чтобы выполнить сканирование, необходимо зарегистрировать бесплатную учетную запись.

Quttera проверяет сайт на наличие вредоносных программ и уязвимостей.

Этот инструмент позволяет провести проверку сайта на уязвимости онлайн на наличие вредоносных файлов, подозрительных файлов, потенциально подозрительных файлов, phishTank, а также присутствие в списках безопасного просмотра (Google, Yandex) и списках вредоносных программ.

Detectify — это сканер сайта, основанный на SaaS. Он позволяет проводить более 100 автоматических тестов безопасности, включая тест OWASP Top 10, наличие вредоносного программного обеспечения и многие другие.

Detectify предоставляет 21-дневную бесплатную ознакомительную версию.

SiteGuarding позволяет проверить домен на наличие вредоносного программного обеспечения, присутствия в черных списках, инъекций спама и многого другого.

Сканер совместим с WordPress, Joomla, Drupal, Magento, osCommerce, Bulletin и другими платформами.

SiteGuarding также помогает удалить вредоносное программное обеспечение с сайта.

Web Inspector сканирует сайт и предоставляет отчеты — «черный список», «фишинг», «вредоносные программы», «черви», «бэкдоры», «трояны», «подозрительные фреймы», «подозрительные подключения».

Acunetix проверяет весь сайт на наличие более 500 различных уязвимостей.

Инструмент предоставляет бесплатную пробную версию на 14 дней.

AsafaWeb предлагает сканирование трассировки, пользовательских ошибок, трассировки стека, патча Hash DoS, журнала EMLAH, HTTP Only Cookies, Secure Cookies, Clickjacking и многого другого.

Netsparker Cloud — это сканер безопасности корпоративных веб-приложений, который способен обнаружить более 25 критических уязвимостей. Он бесплатен для проектов с открытым исходным кодом. Также можно запросить пробную версию инструмента.

UpGuard Web Scan — это инструмент оценки внешних рисков, который использует общедоступную информацию по различным факторам, включая SSL, атаки Clickjack, Cookie, DNSSEC, заголовки и т. д. Он все еще находится на стадии бета-тестирования, но его стоит попробовать.

Tinfoil Security сначала проверяет сайт на наличие 10 уязвимостей OWASP, а затем на другие известные угрозы. В конечном итоге вы получите отчет о действиях и сможете повторно просканировать сайт после внесения необходимых исправлений.

Полная настройка займет около 5 минут. Просканировать сайт можно даже если он защищен или для входа на него требуется регистрация.

Одним из основных факторов безопасности любого сайта является постоянный контроль, поэтому вы получите уведомление, когда он дает сбой или подвергается взлому.

Перечисленные инструменты позволяют сканировать сайт по запросу и запланировать автоматическую проверку безопасности. Надеюсь, что приведенный список специализированных средств поможет вам выполнить проверку безопасности сайта.

Дайте знать, что вы думаете по данной теме в комментариях. Мы крайне благодарны вам за ваши комментарии, дизлайки, отклики, лайки, подписки!

Данная публикация является переводом статьи «12 Online Free Tools to Scan Website Security Vulnerabilities & Malware» , подготовленная редакцией проекта.

сравниваем восемь популярных сканеров / Блог компании T.Hunter / Хабр

Сканеры веб-приложений — довольно популярная сегодня категория софта. Есть платные сканеры, есть бесплатные. У каждого из них свой набор параметров и уязвимостей, возможных для обнаружения. Некоторые ограничиваются только теми, что публикуются в OWASP Top Ten (Open Web Application Security Project), некоторые идут в своем black-box тестировании гораздо дальше.

В этом посте мы собрали восемь популярных сканеров, рассмотрели их подробнее и попробовали в деле. В качестве тренировочных мишеней выбрали независимые точки на двух платформах (.NET и php): premium.pgabank.com и php.testsparker.com.

OWASP ZAP

Как можно догадаться по названию, за выпуск

OWASP ZAP

отвечает та самая организация OWASP, что мы упомянули во вступлении. Это бесплатный инструмент для тестирования на проникновение и для поиска уязвимостей в веб-приложениях.

Основные возможности OWASP ZAP:

• Man-in-the-middle Proxy
• Traditional and AJAX spiders
• Automated scanner
• Passive scanner
• Forced browsing
• Fuzzer

Дополнительные фичи

• Dynamic SSL certificates
• Smartcard and Client Digital Certificates support
• Web sockets support
• Support for a wide range of scripting languages
• Plug-n-Hack support
• Authentication and session support
• Powerful REST based API
• Automatic updating option
• Integrated and growing marketplace of add-ons

Интерфейс программы переведен на русский, что будет удобно для некоторых пользователей. Рабочая область OWASP ZAP складывается из нескольких окон. Внизу — вкладки с текущими заданиями и процесс их выполнения, слева — дерево сайтов, дополнительно можно вывести в правую часть окна запросов и ответов.

С помощью маркетплейса можно немного расширить функциональность сканера.

У каждого компонента программы есть много настраиваемых параметров. Например, мы можем настроить входящие векторы для активного сканирования, сгенерировать динамические SSL-сертификаты, добавить идентификаторы HTTP-сессий и т.д.

Перейдем к тестам. При сканировании сайта php.testsparker.com была найдена Blind SQL Injection. На этом критичные уязвимости заканчиваются.

Полные результаты OWASP ZAP на php.testsparker.com

H: Advanced SQL Injection — AND boolean-based blind — WHERE or HAVING clause
M: X-Frame-Options Header Not Set
L: X-Content-Type-Options Header Missing
L: Web browser xss protection is not enabled

На

premium.bgabank.com

мы видим более интересные результаты: найдена возможность Server Side Include (SSI) и Reflected Cross Site Scripting.

Полные результаты OWASP ZAP на premium.bgabank.com

H: Server Side Include
H: Reflected Cross Site Scripting
M: X-Frame-Options Header Not Set
M: Application Error Disclosure
M: Directory Browsing
M: Secure Pages Include Mixed Content (Including Scripts)
L: X-Content-Type-Options Header Missing
L: Web browser xss protection is not enabled
L: Cross-Domain JavaScript Source File Inclusion
L: Incomplete or No Cache-control and Pragma HTTP Header Set
L: Cookie No HttpOnly Flag
L: Cookie Without Secure Flag
L: Content-Type Header Missing
L: Private IP Disclosure

I: Image Exposes Location or Privacy Data

Все результаты сканирования можно экспортировать в отчет (поддерживается *.pdf, *.html, *.xml, *.json). В отчете подробно описываются уязвимости, найденные векторы, а также методы «закрытия» уязвимостей.

В целом работать с OWASP ZAP нам понравилось. Есть все необходимые инструменты для пентеста веб-приложения, простой и понятный интерфейс, быстрое сканирование в один клик. И при этом гибкие, глубокие настройки для более детального сканирования, что может послужить отправной точкой для дальнейшего ручного поиска уязвимостей. Ниже мы еще расскажем о сканере Burp Suite Pro, который имеет с OWASP ZAP много общего. По количеству и качеству найденных уязвимостей первый рассмотренный нами сканер показал очень неплохой результат. Рекомендован к использованию в работе.

W9scan

W9scan — это бесплатный консольный

сканер

уязвимостей сайта с более чем

1200 встроенными плагинами

, которые могут определять отпечатки веб-страниц, портов, проводить анализ структуры веб-сайта, находить различные  популярные уязвимости, сканировать на SQL Injection, XSS и т. д.

Более полный список возможностей W9scan

— Fingerprint detection

• Can identify common website CMS fingerprints ( 300+)
• Recognizable common website frame
• Identify common port service fingerprints
• Detect website scripting language
• Detect operating system type
• Detection Website Firewall (WAF)

— Attack parameter

• SQL injection (based on crawlers)
• XSS injection (based on reptiles)
• A large number of Fuzz parameter scans
• CVE vulnerability
• struts Vulnerability collection (including automatic detection)
• Shellshock cgi test
• heartbeat Bleeding heart
• IIS parsing vulnerability
• IIS Put vulnerability

— Violent cracking

• Backup files and directories (based on crawlers)
• Backup files and directories (based on domain name)
• Common directory
• Common file
• Subdomain violence analysis
• fckeditorPath enumeration
• Common mdbdatabase enumeration
• git svn Leak identification
• TOMCAT web.xml Give way

— Сollect message

• Emails (based on reptiles)
• Private IP (based on reptiles)
• E-mail (based on reptiles)
• Detecting Warnings, Fatal Error,…
• PHP version identification
• IIS information disclosure
• IP address attribution
• Integrated Wappalyzer recognition script
• robots.txt Analysis
• Detecting unsafe headers in headers
• Detecting unsafe factors in cookies

W9scan автоматически генерирует отчеты о результатах сканирования в формате HTML. Для запуска сканирования требуется только указать URL сайта и плагины, которые будут использоваться. Можно выбрать сразу все, дописав «all».

При сканировании php.testsparker.com W9scan нашел svn и возможные пути загрузки payload. Из менее критичного — определил версии используемых сервисов, возможные векторы проведения XXE, XXS-атак, нашел конфигурационные файлы сервера и провел поиск субдоменов.

На сайте premium.bgabank.com ничего критичного найдено не было. Но сканер определил возможные векторы проведения атак, определены версии сервисов, директории и субдомены.

По результатам сканирования W9scan автоматически генерирует файл отчета в формате HTML.

W9scan сканер подойдет для быстрого запуска в одну команду и мы рекомендуем использовать его как вспомогательный инструмент для определения версий сервисов, а также потенциальных векторов атак.

Wapiti

Ещё один неплохой консольный

сканер

. Так же, как и W9scan, готов к старту в одну команду, при этом имеет больше разных настроек сканирования.

Wapiti производит поиск следующих уязвимостей:

• File disclosure (Local and remote include/require, fopen, readfile…)
• Database Injection (PHP/JSP/ASP SQL Injections and XPath Injections)
• XSS (Cross Site Scripting) injection (reflected and permanent)
• Command Execution detection (eval(), system(), passtru()…)
• CRLF Injection (HTTP Response Splitting, session fixation…)
• XXE (XML External Entity) injection
• SSRF (Server Side Request Forgery)
• Use of know potentially dangerous files
• Weak .htaccess configurations that can be bypassed
• Presence of backup files giving sensitive information
• Shellshock

В дополнение ко всему перечисленному имеется поддержка прокси (HTTP, HTTPs и SOCKS5), различных методов аутентификации (Basic, Digest, Kerberos, NTLM),  поддержка SSL-сертификатов, возможность добавления различных HTTP-заголовков или настроек user-agent.

При сканировании сайта php.testsparker.com были найдены уязвимости Blind SQL Injection, Cross Site Scripting, Commands execution. На premium.bgabank.com Wapiti в сравнении с другими сканерами показывает не такие выдающиеся результаты: был обнаружен только Cross Site Scripting.

По результатам работы сканера также формируется отчет в формате HTML, в котором содержатся категории и число найденных уязвимостей, их описание, запросы, команды для curl и советы о том, как закрыть найденные дыры в безопасности.

Как и следовало ожидать, Wapiti до уровня OWASP ZAP, конечно, не дотягивает. Но все же он отработал качественнее W9scan, хотя не был произведен поиск директорий, субдоменов и определение версий сервисов.

Arachni

Мощный бесплатный комбайн для теста защищенности веб-приложений  и поиска уязвимостей. Имеет графический интерфейс и огромную функциональность, о которой более подробно можно почитать на официальном сайте.

Активное тестирование:

• SQL injection — Error based detection
• Blind SQL injection using differential analysis
• Blind SQL injection using timing attacks
• NoSQL injection — Error based vulnerability detection
• Blind NoSQL injection using differential analysis

Полный список функций для активного тестирования

• CSRF detection
• Code injection
• Blind code injection using timing attacks
• LDAP injection
• Path traversal
• File inclusion
• Response splitting
• OS command injection
• Blind OS command injection using timing attacks
• Remote file inclusion
• Unvalidated redirects
• Unvalidated DOM redirects
• XPath injection
• XSS
• Path XSS
• XSS in event attributes of HTML elements
• XSS in HTML tags
• XSS in script context
• DOM XSS
• DOM XSS script context
• Source code disclosure
• XML External Entity

Пассивное тестирование:

• Allowed HTTP methods
• Backup files
• Backup directories
• Common administration interfaces
• Common directories
• Common files

Полный список функций для пассивного тестирования

• HTTP PUT
• Insufficient Transport Layer Protection for password forms
• WebDAV detection ( webdav).
• HTTP TRACE detection
• Credit Card number disclosure
• CVS/SVN user disclosure
• Private IP address disclosure
• Common backdoors
• .htaccess LIMIT misconfiguration
• Interesting responses
• HTML object grepper
• E-mail address disclosure
• US Social Security Number disclosure
• Forceful directory listing
• Mixed Resource/Scripting
• Insecure cookies
• HttpOnly cookies
• Auto-complete for password form fields.
• Origin Spoof Access Restriction Bypass
• Form-based upload
• localstart.asp
• Cookie set for parent domain
• Missing Strict-Transport-Security headers for HTTPS sites
• Missing X-Frame-Options headers
• Insecure CORS policy
• Insecure cross-domain policy
• Insecure cross-domain policy
• Insecure client-access policy

Внушительно, не правда ли? Но и это не все. В «паутину» завернута ещё куча плагинов, например Passive Proxy, Dictionary attacker for HTTP Auth, Cookie collector, WAF Detector и др.

Сканер имеет приятный и лаконичный веб-интерфейс:

И вот что нашел Arachni на наших тестовых сайтах. Php.testsparker.com:

• Cross-Site Scripting (XSS) in script context
• Blind SQL Injection (differential analysis)
• Code injection
• Code injection (timing attack)
• Operating system command injection (timing attack)
• Operating system command injection

Остальные уязвимости на php.testsparker.com

H: File Inclusion
H: Cross-Site Scripting (XSS) in HTML tag
H: Cross-Site Scripting (XSS)
H: Path Traversal
M: Backup file
M: Common directory
M: HTTP TRACE
L: Missing ‘X-Frame-Options’ header
L: Password field with auto-complete
L: Insecure client-access policy
L: Insecure cross-domain policy (allow-access-from)
L: Common sensitive file

На

premium.bgabank.com

из критичного была обнаружена только возможность межсайтовой подделки запросов (CSRF).

Полные результаты Arachni на premium.bgabank.com

H: Cross-Site Request Forgery
M: Mixed Resource
M: HTTP TRACE
M: Common directory
M: Missing ‘Strict-Transport-Security’ header
L: Private IP address disclosure

Отдельно отметим, какие симпатичные отчеты выдает нам Arachni. Поддерживается немало форматов — HTML, XML, text, JSON, Marshal, YAML, AFR.

В общем, Arachni оставляет после работы только положительные впечатления. Наше мнение: это «маст хэв» в арсенале любого уважающего себя спеца.

Paros

Еще один

сканер

веб-уязвимостей с графическим интерфейсом. По умолчанию включен в дистрибутив Kali Linux и установлен там локально. Имеет встроенный прокси, через который добавляются сайты для анализа, встроенный веб-паук, способный анализировать сайт и строить карту запросов.

Для сканирования личного кабинета пользователя необходимо авторизоваться в браузере с включенным перенаправлением трафика через прокси Paros. Сканер будет использовать авторизованные куки в процессе сканирования. Отчет о работе можно экспортировать в HTML. Он сохраняется в файл root/paros/session/LatestScannedReport.htm и в дальнейшем перезаписывается. Если вы хотите сохранить результат предыдущего сканирования, то перед началом следующего сканирования необходимо создать копию имеющегося файла.

Основные возможности (с оглядкой на OWASP TOP 10 2017):

• A1: Injection — SQLinjection, SQLinjection Fingerprint (места, где потенциально может быть SQLinj)
• A6: Security Misconfiguration — Directory browsing, ISS default file, Tomcat source file disclosure, IBM WebSphere default files и некоторые другие стандартные или устаревшие файлы (Obsolete file), содержащие исходный код и прочее.
• A7: XSS

Дополнительные возможности:

• Поиск включенного автозаполнения для форм паролей. При этом если у поля input есть атрибут type=«password»,  получается ложное срабатывание.
• CRLF injection
• Secure page browser cache (кэширование страниц в браузере c важной информацией)
• Возможность сканирования защищенной области пользователя (личный кабинет)
• Возможность сканирования веб-приложений в локальной сети

В финальном отчете к каждому типу уязвимостей есть более подробная информация и некоторые рекомендации о способе устранения.

В нашем тестировании Paros показал довольно слабые результаты. На php.testsparker.com были найдены:

H: SQL injection
M: XSS
M: Устаревшие файлы с исходным кодом
M: Использование автозаполнения в формах с важной информацией (пароли и прочее).
L: Раскрытие внутренних IP

На premium.bgabank.com и того меньше:
M: Directory browsing
M: Использование автозаполнения в формах с важной информацией (пароли и прочее).

В итоге, хотя сканер Paros прост и достаточно удобен в использовании, слабые результаты сканирования заставляют отказаться от его использования.

Tenable.io

Платный многофункциональный облачный

сканер

, который умеет находить большое число веб-уязвимостей и почти полностью покрывает OWASP TOP 10 2017.

Сервис имеет встроенного веб-паука. Если в настройках сканирования указать данные авторизации (запрос авторизации, логин и пароль, авторизованные куки), то сканер проверит и личный кабинет (зону авторизованного пользователя).

Кроме сканирования веб-приложений, Tenable.io умеет сканировать сеть — как на предмет известных уязвимостей, так и для поиска хостов. Возможно подключение агентов для сканирования внутренней сети. Есть возможность экспортирования отчета в различные форматы: *.nessus, *.csv, *.db, *.pdf.

На скриншоте все домены «тестовые»

Дополнительные профили сканирования. В данной статье не затрагиваются

После сканирования становится доступна статистика и приоритизация найденных уязвимостей — critical, high, middle, low, information

В карточке уязвимости представлена дополнительная информация о ней и некоторые рекомендации по ее устранению.

Сканируем php.testsparker.com. Уязвимости с приоритетом high:

H: Уязвимости компонентов
— вышедшая из поддержки версия PHP
— вышедшая из поддержки версия Apache
H: Code injection
H: SQLinj
H: XSS
H: LFI
H: Path Traversal

Middle- и low-уязвимости

M: Раскрытие ценных данных — полный путь, бекапы
M: Раскрытие внутренних IP
M: Cookie без флага HTTPOnly
M: Отправка пароля по HTTP
L: Использование автозаполнения в формах с важной информацией
L: Ответ сервера на TRACE запросы
L: Не установлены header`ы Cache-Control, X-Content-Type-Options, X-Frame-Options, X-XSS-Protection

Теперь

premium.bgabank.com

. Уязвимости с приоритетом high:

H: Уязвимости компонентов

• вышедшая из поддержки версия PHP
• уязвимости Apache
• уязвимости Bootstrap
• уязвимости JQuery

Middle- и low-уязвимости

M: Web server phpinfo()
M: Совместное использование HTTP и HTTPS
M: Отсутствие перенаправления с HTTP на HTTPS
M: Directory browsing
M: Найдены backup файлы
M: Использование небезопасной версии протокола SSL
M: Истечение срока сертификата SSL/TLS
L: Раскрытие внутренних IP
L: Cookie без флага HTTPOnly
L: Ответ сервера на TRACE запросы
L: Не установлены header`ы Strict-Transport-Security, Cache-Control, X-Content-Type-Options, X-Frame-Options, X-XSS-Protection

Сканер Tenable.io

показал себя хорошо, нашел множество уязвимостей

. Работу с ним упрощает удобный графический интерфейс и представление данных. Еще один плюс — наличие дополнительных профилей сканирования, в которые мы пока решили не зарываться. Важной особенностью является облачная структура сервиса. С одной стороны, сервис не использует локальные вычислительные ресурсы рабочего компьютера. С другой — не сможет просканировать веб-приложения в локальной сети.

Burp Suite Pro

Burp Suite — это комплексное

решение

для проверок веб-приложений. Оно включает в себя разнообразные утилиты, позволяющие улучшить и ускорить поиск уязвимостей веб-приложений.

В составе Burp Suite есть следующие утилиты:

• Proxy — прокси-сервер, который перехватывает трафик, проходящий по протоколу HTTP(S), в режиме man-in-the-middle. Находясь между браузером и целевым веб-приложением, эта утилита позволяет перехватывать, изучать и изменять трафик, идущий в обоих направлениях.
• Spider — веб-паук, который в автоматическом режиме собирает информацию о содержимом и функционале приложения (веб-ресурса).
• Scanner (только в Burp Suite Pro) — сканер для автоматического поиска уязвимостей в веб-приложениях.
• Intruder — гибкая утилита, позволяющая в автоматическом режиме производить атаки различного вида. Например, перебор идентификаторов, сбор важной информации и прочее.
• Repeater — инструмент для ручного изменения и повторной отсылки отдельных HTTP-запросов, а также для анализа ответов приложения.
• Sequencer — утилита для анализа случайных данных приложения на возможность предсказания алгоритма их генерации.
• Decoder — утилита для ручного или автоматического кодирования и декодирования данных приложения.
• Comparer — инструмент для поиска визуальных различий между двумя вариациями данных.
• Extender — инструмент для добавления расширений в Burp Suite

Утилита Scanner представлена в одноименной вкладке основного окна программы Burp Suite. Интерфейс англоязычный, но кого сейчас это может отпугнуть?

На вкладке Issue Definition представлен полный список всех уязвимостей, которые способен выявить данный сканер. Следует отметить, что список весьма внушительный.

Все уязвимости разделены на 3 категории: high, medium, low. Также есть категория information, к которой относятся механизмы сбора различной полезной информации о сканируемом ресурсе.

При запуске сканирования в окне Scan queue мы можем наблюдать за прогрессом по этапам. «Цветовая дифференциация штанов» присутствует.

На вкладке Options выполняется основная настройка параметров сканирования.

Для удобства опции разбиты по категориям. При необходимости можно получить справку по каждой категории прямо из окна настройки.

В целом Burp Suite Pro показал неплохой результат. При сканировании php.testsparker.com было найдено и классифицировано достаточно уязвимостей чтобы получить полный контроль над веб приложением и его данными — это и OS command injection, и SSTI, и File path traversal.

Полные результаты Burp Suite Pro на php.testsparker.com

H: OS command injection

H: File path traversal

H: Out-of-band resource load (HTTP)

H: Server-side template injection

H: Cross-site scripting (reflected)

H: Flash cross-domain policy

H: Silverlight cross-domain policy

H: Cleartext submission of password

H: External service interaction (DNS)

H: External service interaction (HTTP)
M: SSL certificate (not trusted or expired)
L: Password field with autocomplete enabled

L: Form action hijacking (reflected)

L: Unencrypted communications

L: Strict transport security not enforced

На сайте

premium.bgabank.com

были найдены:

H: Cross-site scripting (reflected)
M: SSL cookie without secure flag set

M: SSL certificate (not trusted or expired)
L: Cookie without HttpOnly flag set

L: Password field with autocomplete enabled

L: Strict transport security not enforced

Если для веб-пентеста вы часто используете Burp Suite, вам нравится его экосистема, но хотелось бы как-то автоматизировать процесс поиска уязвимостей, то эта утилита отлично впишется в ваш арсенал.

Acunetix

В заключение — еще один весьма неплохой коммерческий

сканер

. Его очень активно продвигают с помощью рекламы, но Acutenix не добился бы успеха без своей обширной функциональности. Среди доступных ему для обнаружения уязвимостей — все виды SQL injection, Cross site scripting, CRLF injection и прочие радости пентестера веб-приложений. Стоит отметить, что для качественного сканирования требуется выбрать правильный профиль.

Интерфейс дашборда приятный:

Все выявленные уязвимости по традиции раскладываются на четыре категории: High, Medium, Low. Ну и куда же без категории Information, в которую включаются все интересные, по мнению сканера, данные.

На вкладке Scans мы можем наблюдать прогресс сканирования и прочую диагностическую информацию.

После завершения сканирования на вкладке Vulnerabilities мы можем ознакомиться с тем, что и в каком количестве было найдено. Цветовая дифференциация на месте.

В тесте на php.testsparker.com сканер показал неплохой результат, а вот с premium.bgabank.com откровенно подкачал.

Полные результаты Acunetixphp.testsparker.com:
H: Apache 2.2.14 mod_isapi Dangling Pointer

H: Blind SQL Injection

H: Cross site scripting

H: Cross site scripting (verified)

H: Directory traversal

H: File inclusion

H: PHP code injection

H: Server-side template injection

H: SVN repository found

H: User controllable script source
M: Access database found

M: Apache 2.x version older than 2.2.9

M: Apache httpd remote denial of service

M: Apache httpOnly cookie disclosure

M: Application error message

M: Backup files

M: Directory listing

M: HTML form without CSRF protection

M: Insecure clientaccesspolicy.xml file

M: Partial user controllable script source

M: PHP hangs on parsing particular strings as floating point number

M: PHP preg_replace used on user input

M: Source code disclosure

M: User credentials are sent in clear text
L: Apache 2.x version older than 2.2.10

L: Apache mod_negotiation filename bruteforcing

L: Clickjacking: X-Frame-Options header missing

L: Login page password-guessing attack

L: Possible relative path overwrite

L: Possible sensitive directories

L: Possible sensitive files

L: TRACE method is enabled

premium.bgabank.com:
L: Clickjacking: X-Frame-Options header missing

Acunetix имеет большие возможности и подойдет, если вы ищете stand-alone решение. Веб-интерфейс прост и понятен, инфографика и отчеты выглядят вполне удобоваримо. Возможны осечки при сканировании, но, как говорил Тони Старк: «С мужиками такое случается. Не часто. Один разок из пяти».

Общие итоги

А теперь выводы по всем протестированным сканерам.

• OWASP ZAP нам понравился. Рекомендуем к использованию.
• W9scan мы рекомендуем использовать как вспомогательный инструмент для определения версий и сервисов, а также потенциальных векторов атак.
• Wapiti до OWASP ZAP не дотягивает, но у нас отработал качественнее W9scan.
• Arachni — это просто «маст-хэв».
• Paros сканирует слабо, и мы его не рекомендуем.
• Tenable.io хорош, находит множество уязвимостей. Но стоит учесть, что он облачный.
• Burp Suite Pro мы советуем тем, кому нравится экосистема Burp Suite, но не хватает автоматизации.
• Acunetix подойдет тем, кто ищет сканер как stand-alone приложение.

ТОП-5 онлайн-сканеров для проверки сайтов на вирусы и уязвимости

В этой статье я поделюсь с вами лучшими бесплатными сервисами, которые позволяют без регистрации проверить безопасность веб-сайтов, обнаружить вирусы, уязвимости, опасный контент и другие вредоносные объекты.

WordPress Security Scan

В предыдущей статье я уже писал о замечательном инструменте WPScan, который существует и под Linux, и под Windows. WordPress Security Scan — онлайн-версия данной утилиты. С нее и начнем:

Все, что от вас требуется — это вставить домены в форму, выбрать тип сканирования и запустить:

На выходе получите достаточно информативный отчет, который можно экспортировать в pdf. Может пригодиться для SEO-аудита.

Детально описывать не собираюсь — попробуйте сами. Вот ссылка на WordPress Security Scan.

Sucuri SiteCheck

Бесплатный сканер для проверки сайтов от известной компании Sucuri.

Работает со всеми типами CMS. Достаточно качественно сканирует сайты и замечает то, чего другие подобные онлайн-сервисы иногда не видят:

Сканировать сайт в Securi>>

VirusTotal

Анализируйте подозрительные файлы и URL-адреса для обнаружения типов вредоносных программ, автоматически делитесь ими с сообществом специалистов по безопасности.

Данную онлайн-утилиту знаю давно. Качество проверки неплохое. Говорят, использует пару десятков антивирусов. Можете сами протестировать и написать отзыв в комментариях. Прямая ссылка на VirusTotal>>

Google Safe Browsing

Мало, наверное, кто знал, что у Гугла существует свой собственный инструмент для анализа безопасности сайтов — Google Safe Browsing. Технология безопасного просмотра Google проверяет миллиарды URL-адресов в день в поисках небезопасных веб-сайтов. При обнаружении подозрительных, небезопасных или взломанных сайтов Google показывает предупреждение в поисковой выдаче, в панели вебмастера (GSC) и в веб-браузере (Chrome). Вы можете выполнить поиск, чтобы узнать, опасен ли в настоящее время веб-сайт для посещения:

Кстати тут же вы сможете узнать, как давно Google-бот посещал ваш сайт.

Ссылка на Google Safe Browsing>>

Quterra

Сервис скачивает файлы вашего сайта и проверяет их на присутствие malware, а также проганяет по black-листам и системам проверки безопасности. Поддерживает все современные CMS-платформы: WordPress, Joomla, Drupal, Majento и др.

Проверить сайт в Quterra>>

Рекомендую также подтвердить право собственности на свой сайт в базах Norton Safe Web, Dr.WEB и MyWot. Вы сможете держать репутацию и рейтинг сайта под контролем, а в случае каких-то нарушений или проблем безопасности, эти сервисы уведомят вас. А если вы владелец VPS-сервера или системный администратор — советую обратить внимание на сканер вредоносных скриптов на хостинге под названием AI BOLIT.

Если у вас есть вопросы — оставляйте в комментариях.

Удачи!

Поиск уязвимостей на сайте

Тестирование на проникновение позволяет обнаружить уязвимости и ошибки, которые могут быть использованы злоумышленниками для проникновения в вашу систему. Если вы администратор сайта, вам обязательно нужно добавить тестирование на проникновение в свой список инструментов и регулярно выполнять поиск уязвимостей для того, чтобы обеспечить полную безопасность ваших сайтов. Обнаруженные проблемы помогут вам устранить слабые места.

Тестирование безопасности включает очень много различных инструментов и задач. В этой статье мы постараемся охватить все аспекты поиска уязвимостей на сайте. С помощью этой инструкции вы сможете сохранить свой ресурс в безопасности.

Поиск уязвимостей на сайте

Тестирование на проникновение и поиск уязвимостей на сайте состоит из нескольких этапов. Тут недостаточно запустить один инструмент и проверить сайт, нужен правильный подход, который поможет вам собрать как можно больше информации о безопасности вашей системы. Вот основные этапы:

• Разведка — поиск и сборка информации о вашей сети или серверах;
• Сканирование — на этом этапе нужно проверить сайт на уязвимости опираясь на собранную информацию;
• Эксплуатация — этот шаг необязательный и не всегда нужный тестировщикам на проникновение. Это необходимо, если вам нужно показать реальную опасность уязвимостей;
• Исправление — на этом этапе нужно исправить все найденные уязвимости на вашем сайте.

Теперь рассмотрим что нужно делать на каждом из этапов и какие инструменты для этого нужно использовать. Лучше не устанавливать все эти программы отдельно, а использовать уже готовую среду для тестирования на проникновение — Kali Linux. Это специально подготовленный дистрибутив Linux, который уже содержит все необходимые программы. Так вам не придется ничего устанавливать. Вы можете запускать систему из флешки или же установить Kali Linux на жесткий диск.

Разведка

То, что это ваша система ничего не значит, вам все равно нужно узнать какую информацию о ней могут узнать другие люди. Для этого можно применять несколько инструментов:

nmap — это один из самых популярных инструментов для сканирования сетей. С помощью него вы можете посмотреть какие сервисы запущены на сервере веб-сайта, какие порты они используют их версии, и даже версию операционной системы. Чтобы посмотреть открытые порты на своей машине выполните такую команду в терминале Kali Linux:

nmap -sS 192.168.91.249

Здесь 192.168.91.249 — это ip адрес вашего сайта. Это команда только выведет открытые порты и названия сервисов. Вы можете получить более подробную информацию, например, уже на этом этапе можно собрать много информации о системе. Например, здесь вы можете видеть, что на машине запущен SSH сервер, веб-сервер, службы обмена файлами Samba и прокси сервер на порту 3128. Все они могут быть потенциально уязвимы.

Сканер Nmap позволяет копнуть глубже, с помощью более интенсивного сканирования. Для этого используйте опцию -A:

nmap -A 192.168.91.62

Тут вы уже увидите намного больше информации, например, версии сервисов, системное время, систему управления контентом и даже версию операционной системы. Также, если будут обнаружены простые уязвимости, такие как слабый пароль FTP, то вы об этом тоже узнаете. Прочитать подробнее как пользоваться Nmap вы можете в отдельной статье.

Также нужно использовать другие доступные источники информации. Важно понять, какая информация о вас доступна в сети и сможет ли злоумышленник получить информацию, к которой у него не должно быть доступа. Вот некоторые сервисы:

• whois — с помощью этого сервиса вы можете узнать общедоступную информацию о домене, регистратора, владельца и другую контактную информацию;
• recon-ng — полезный инструмент для анализа, который поставляется вместе с Kali Linux;
• Maltego Chlorine — это очень популярный инструмент с открытым исходным кодом, предназначенный для сбора информации с открытых источников;
• Netcraft — полезный инструмент, позволяющий найти поддомены сайта;
• hackertarget.com/reverse-ip-lookup — позволяет узнать какие еще сайты работают на вашем ip адресе.

После того, как вы завершили сбор информации на этапе разведки, нужно перейти к сканированию, непосредственно выполнить поиск уязвимостей на сайте Kali Linux.

Сканирование

Для сканирования часто применяется такой метод, как фаззинг. Его суть в передачи большого количества случайных данных вашему сайту чтобы попытаться обнаружить уязвимости. Различные инструменты которые мы рассмотрим ниже будут имитировать атаки чтобы проверить уязвимость приложения.

Приложения фаззинга позволяют выявить различные уязвимости, но это не заменит понимания того как работают эти приложения, и в чем состоит ошибка. Если у вас есть доступ к исходным кодам проекта, то вы можете параллельно использовать фаззинг и ручной анализ, чтобы с большей точностью найти проблемы.

Важно заметить, что атаки фаззинга работают очень громко поскольку требуют передачи большого количества данных. И скорее всего, ваша система защиты от вторжений заметит их, поэтому будьте осторожны. А теперь рассмотрим некоторые инструменты, которые можно использовать.

WPScan — это проект с открытым исходным кодом, написанный на Ruby специально для сканирования WordPress. Он очень прост в использовании и может быть полезным для сайтов, которые используют большое количество плагинов или не обновляются. Утилите не нужен исходный код, она выполняет сканирование удаленно.

Nikto — это сканер уязвимостей для веб-сайтов. Он работает намного дольше чем WPSan, но рассчитан не только на WordPress. Он включает в себя множество плагинов, и во время сканирования будет выполнено очень много запросов. Например, программа может найти файл, который будет выводить информацию phpinfo. Но Nikto генерирует очень много ложных срабатываний, поэтому вам нужно внимательно анализировать вывод.

Burp Suite — это очень мощная программа для поиска уязвимостей на сайте или в веб приложениях. Этот инструмент работает только через веб-браузер. Утилита позволяет проверить все формы, которые есть на сайте, проверить отправку разных заголовков, посмотреть ответы и запросы браузера, выполнить активное сканирование URL, выполнить статический анализ кода JavaScript, а также выполнить поиск XSS уязвимостей на сайте. Это отличный инструмент, но он может показаться сложным.

https://youtu.be/M_h_absC5yE

SQLMap — программа для поиска sql уязвимостей сайта. Вы можете  найти все возможные места, где могут быть выполнены SQL инъекции. Например, если вы предполагаете, что в параметре id может быть sql инъекция, используйте такую команду:

sqlmap -u http://example.com/?id=1 -p id

Программа будет выполнять тестирование для различных типов баз данных, поэтому вы можете указать только нужную:

sqlmap --dbms=MySQL -u http://example.com/?id=1 -p id

С помощью этой команды вы можете проверить различные поля, и указывать различные параметры, такие как базы данных, таблицы или пароли.

Эксплуатация

Эксплуатация завершает поиск уязвимостей на сайте и предоставляет из себя использование уязвимостей для получения доступа к системе или данным. В целом, если вы смогли найти дырки в вашей системе безопасности и закрыть их, то больше ничего вам делать не нужно. Но иногда нужно доказать, что проблема действительно серьезна. Рекомендуется не использовать эксплуатацию уязвимостей на производственных системах, потому что это может привести к проблемам. Лучше создать виртуальную машину и уже в ней показывать все, что нужно. Вот некоторые инструменты, которые можно использовать:

• SQLMap — очень эффективный инструмент для поиска sql уязвимостей и их эксплуатации;
• Burp Suite — инструмент для поиска XSS уязвимостей и эксплуатации;
• Metasploit — эксплуатация уязвимостей в системе.

Metasploit — это целая среда для проведения тестирования на проникновение, в которой содержится множество готовых эксплойтов. Вы можете найти эксплойты для установленных плагинов или обнаруженных на первом этапе сервисов. Мы более подробно рассмотрим как пользоваться Metasploit в одной из следующих статей.

Исправление

Это заключительный этап поиска уязвимостей. На основе всего того, что было найдено нужно сделать выводы и закрыть все дыры. Когда у вас есть все данные об уязвимых местах. Распределите приоритеты и исправьте все, что нашли. Если эти уязвимости смогли найти вы, значит их может найти любой другой.

Выводы

В этой статье мы сделали очень интенсивный курс в поиск уязвимостей на сайте и рассмотрели основные программы для поиска уязвимостей на сайте, которые вы можете использовать для обеспечения максимальной безопасности своего ресурса или инфраструктуры. Многие из этих инструментов являются промышленным стандартом. Сейчас вы можете продумать стратегию тестирования и попытаться устранить все уязвимости.

Источник: losst.ru

Лучшие сканеры уязвимостей для Linux

Инструменты анализа уязвимостей — это один из самых важных компонентов системы безопасности каждой компании. Проверка приложений и систем на наличие старых уязвимостей — обязательная практика. В этой статье мы рассмотрим лучшие сканеры уязвимостей, с открытым исходным кодом, которые вы можете использовать для обнаружения уязвимостей в своих системах и программах. Все они полностью свободны и могут использоваться как обычными пользователями, так и в корпоративном секторе.

1. OpenVAS

OpenVAS или Open Vulnerability Assessment System — это полноценная платформа для поиска уязвимостей, которая распространяется с открытым исходным кодом. Программа основана на исходном коде сканера Nessus. Изначально этот сканер распространялся с открытым исходным кодом, но потом разработчики решили закрыть код, и тогда, в 2005 году, на основе открытой версии Nessus был создан OpenVAS.

Программа состоит из серверной и клиентской части. Сервер, который выполняет основную работу по сканированию систем запускается только в Linux, а клиентские программы поддерживают в том числе Windows, к серверу можно получить доступ через веб-интерфейс.

Ядро сканера более  36000 различных проверок на уязвимости и каждый день обновляется с добавлением новых, недавно обнаруженных. Программа может обнаруживать уязвимости в запущенных сервисах, а также искать неверные настройки, например, отсутствие аутентификации или очень слабые пароли.

2. Nexpose Community Edition

Это еще один инструмент поиска уязвимостей linux с открытым исходным кодом, разрабатываемый компанией Rapid7, это та же самая компания, которая выпустила Metasploit. Сканер позволяет обнаруживать до 68000 известных уязвимостей, а также выполнять более 160000 сетевых проверок.

Версия Comunity полностью свободна, но она имеет ограничение, на одновременное сканирование до 32 IP адресов и только одного пользователя. Также лицензию нужно обновлять каждый год. Здесь нет сканирования веб-приложений, но зато поддерживается автоматическое обновление базы уязвимостей и получение информации об уязвимостях от Microsoft Patch.

Программу можно установить не только в Linux, но и в Windows, а управление выполняется через веб-интерфейс. С помощью него вы можете задать параметры сканирования, ip адреса и прочую необходимую информацию.

После завершения проверки вы увидите список уязвимостей, а также информацию об установленном программном обеспечении и операционной системе на сервере. Можно также создавать и экспортировать отчеты.

3. Burp Suite Free Edition

Burp Suite — это сканер веб-уязвимостей, написанный на Java. Программа состоит из прокси-сервера, паука, инструмента для генерации запросов и выполнения стресс тестов.

С помощью Burp вы можете выполнять проверку веб-приложений. Например, с помощью прокси сервера можно перехватывать и просматривать весть проходящий трафик, а также модифицировать его при необходимости. Это позволит смоделировать многие ситуации. Паук поможет найти веб-уязвимости, а инструмент генерации запросов — стойкость веб-сервера.

4. Arachni

Arachni — это полнофункциональный фреймворк для тестирования веб-приложений, написанный на Ruby, который распространяется с открытым исходным кодом. Он позволяет оценить безопасность веб-приложений и сайтов, выполняя различные тесты на проникновение.

Программа поддерживает выполнение сканирования с аутентификацией, настройкой заголовков, поддержкой подмены Aser-Agent, поддержка определения 404. Кроме того, у программы есть веб-интерфейс и интерфейс командной строки, сканирование можно приостановить, а затем снова проложить и в целом, все работает очень быстро.

5. OWASP Zed Attack Proxy (ZAP)

OWASP Zed Attack Proxy — еще один комплексный инструмент для поиска уязвимостей в веб-приложениях. Поддерживаются все, стандартные для такого типа программ возможности. Вы можете сканировать порты, проверять структуру сайта, искать множество известных уязвимостей, проверять корректность обработки повторных запросов или некорректных данных.

Программа может работать по https, а также поддерживает различные прокси. Поскольку программа написана на Java, ее очень просто установить и использовать. Кроме основных возможностей, есть большое количество плагинов, позволяющих очень сильно увеличить функциональность.

6. Clair

Clair — это инструмент поиска уязвимостей linux в контейнерах. Программа содержит список уязвимостей, которые могут быть опасны для контейнеров и предупреждает пользователя, если были обнаружены такие уязвимости в вашей системе. Также программа может отправлять уведомления, если появляться новые уязвимости, которые могут сделать контейнеры небезопасными.

Каждый контейнер проверяется один раз и для его проверки нет необходимости его запускать. Программа может извлечь все необходимые данные из выключенного контейнера. Эти данные сохраняются в кэш, чтобы иметь возможность уведомлять об уязвимостях в будущих.

7. Powerfuzzer

Powerfuzzer — это полнофункциональный, автоматизированный и очень настраиваемый веб-сканер, позволяющий проверить реакцию веб-приложения на некорректные данные и повторные запросы. Инструмент поддерживает только протокол HTTP и может обнаруживать такие уязвимости, как XSS, SQL инъекции, LDAP, CRLF и XPATH атаки. Также поддерживается отслеживание ошибок 500, которые могут свидетельствовать о неверной настройке или даже опасности, например, переполнении буфера.

8. Nmap

Nmap — это не совсем сканер уязвимостей для Linux. Эта программа позволяет просканировать сеть и узнать какие узлы к ней подключены, а также определить какие сервисы на них запущенны. Это не дает исчерпывающей информации про уязвимости, зато вы можете предположить какое из программного обеспечения может быть уязвимым, попытаться перебрать слабые пароли. Также есть возможность выполнять специальные скрипты, которые позволяют определить некоторые уязвимости в определенном программном обеспечении.

Мы рассмотрели программы, которые позволяют сканировать как саму операционную систему или же веб-приложения и сайты.

На завершение вы можете посмотреть видео о том что такое сканеры уязвимостей и зачем они нужны:

XSS Сканер

Инструменты, предлагаемые нами

Дорогие друзья, только мы способны предоставить в Ваше распоряжение множество действительно полезных, а порой и откровенно незаменимых вещей для веб-мастера, начиная с утилит и информеров, и заканчивая самыми мощными на данный момент инструментами для поиска уязвимостей. Так, одна из самых популярных утилит под названием «Find-Link», поможет Вам обнаружить и удалить все скрытые ссылки. А утилита, известная как «Find-Port», найдет все открытые порты на Вашем сервере. Возможно, ранее Вы уже не раз искали определенное место в коде, тратя на поиски большое количество времени — в таком случае утилита «Find-String» здорово упростит Вам эту задачу. К другим полезным и эффективным сервисам, предлагаемым нами, можно отнести упрощенный HTML валидатор, который проверит Ваш сайт на ошибочные HTML теги. В наличии также имеется и сетевой сканер «Find-XSS-Fire», выполненный как Add-on для браузера Firefox: он осуществит проверку любого проекта на XSS, SQL injection (SQL инъекция), PHP including. Но самый мощный и полезный для любого веб-мастера инструмент (главный из всех представленных на нашем ресурсе) — это сканер кода. Его основное преимущество в сравнении с прочими сетевыми сканерами заключается в том, что он проверяет непосредственно сам код. Именно поэтому данный инструмент способен обнаружить такие уязвимости, которые другие обычные сканеры попросту не смогут найти.
Надеемся, что наш ресурс и все предлагаемые нами инструменты смогут решить все проблемы с безопасностью Ваших проектов.

С чего начать

Вы решили воспользоваться предлагаемыми нами инструментами для поиска и устранения уязвимостей, но не знаете с чего именно начать? В таком случае предлагаем ознакомиться с поэтапной инструкцией комплексной проверки Вашего проекта. Для начала проведите проверку вебсайта при помощи XSS и SQL injection сканера и исправьте обнаруженные уязвимости. После исправления еще раз проверьте Ваш проект, но на этот раз примените Find-XSS-Fire сканер. В случае обнаружения новых уязвимостей устраните и их. Затем мы рекомендуем Вам проверить проект на наличие открытых портов — сделать это можно при помощи утилиты Find-Port. Внимание: если Вы не осведомлены о предназначении какого-либо порта, то лучше обратитесь за помощью и разъяснением к техподдержке Вашего хостинга. После выполнения указанной выше последовательности попробуйте провести проверку прав на папки и файлы, ведь зачастую ошибки в правах приводят к возможности «заливки» шеллов (анг. schell). В этом Вам поможет специальная утилита Find-Info. Вдобавок к этому не будет лишним использовать утилиту Find-Date — она проверит даты изменения файлов и папок, что в свою очередь поможет в обнаружении шеллов, ведь в случае их наличия, даты файлов будут отличаться. Более того, мы искренне рекомендуем провести при помощи нашего валидатора проверку Вашего вебсайта на HTML ошибки, а также воспользоваться полезной утилитой Find-Link, которая поможет найти и удалить ненужные внешние ссылки.
Не повторяйте чужие ошибки, используйте предлагаемые нами инструменты и позаботьтесь о безопасности своего проекта прямо сейчас.

Почему именно мы

Довольно часто нам задают один и тот же вопрос — почему XSS и SQL injection сканер пользуется такой огромной популярностью у клиентов?
Что ж, ответ на самом деле крайне прост — по той причине, что предлагаемый нами сканер уязвимостей сайта крайне эффективен и безопасен, быстро выполняет поставленные перед ним задачи и отличается интуитивной понятностью управления.
В чем заключается эффективность? В том, что наш сканер проводит проверку и находит уязвимости в разы лучше всех прочих «сканеров кода», доступных в интернете.
Действительно ли он так безопасен? Да, клиент сканера работает на Java, поэтому Вам не потребуется загружать в него исходники.
Правда ли, что проверка проходит очень быстро? Мы можем это гарантировать, ведь наш сканер выполняет свои задачи в онлайн-режиме и проверяет мегабайты кода за считанные секунды.
Насколько просто работать с данным инструментом? Чтобы начать сканирование, вам потребуется всего лишь два клика. Более того, отчет проверки предложит Вам функцию автоматического исправления уязвимостей.
Серьезно переживаете за безопасность своего проекта? Доверьтесь нашему XSS и SQL injection сканеру, проведите анализ сайта на уязвимости и все Ваши тревоги уйдут в прошлое.

Не повторяйте чужие ошибки

К сожалению, большинство веб-мастеров впервые сталкиваются с такой существенной проблемой как «уязвимости» лишь тогда, когда их сайты подвергаются взлому. Довольно печален и тот факт, что немалый процент разработчиков со стажем осведомлены о серьезности данной угрозы, но по тем или иным причинам оставляют ее без должного внимания. Что ж, причины этому явлению могут быть самые разные: тут стоит отметить и техническую сложность данного вопроса, и извечную надежду на «авось», а порой и откровенную лень или нежелание исправлять что-либо в своей работе. Тем не менее, как мы уже и сказали чуть выше, рано или поздно практически все без исключения веб-мастера сталкиваются с угрозой безопасности для своих проектов. Позволим себе заметить, что самым верным решением будет побороть свою инертность и как можно раньше озадачиться вопросом «что можно сделать?». Ну а в этом Вам как раз и поможет наш ресурс, предлагающий точные и надежные инструменты для качественной проверки сайтов, а также для поиска и самостоятельного исправления уязвимостей на них. Не секрет, что порой у некоторых клиентов попросту не хватает времени или сил на полноценное проведение подобной работы — в таких ситуациях мы предлагаем свои профессиональные услуги (более подробную информацию о них Вы сможете найти в соответствующем разделе «Услуги»).
Не стоит повторять чужих ошибок, давайте прямо сейчас позаботимся о безопасности Ваших проектов и их защите от XSS атак.

Что такое уязвимости, их некоторые типы

Дорогие друзья, чуть выше мы уделили достаточно внимания описанию функций наших сетевых сканеров, поэтому давайте сейчас немного поговорим об уязвимостях, поиск которых и есть то, для чего они и были созданы. Уязвимости подразделяются на разные типы, и злоумышленники используют их в разных целях. В качестве первого примера можно привести XSS (Cross site scripting) уязвимость, применяемую обычно для кражи cookie. Задействуя ее, хакер может получить доступ к логинам и паролям, зачастую хранящимся в cookie (в незашифрованном виде). Более того, если XSS не пассивная, то при помощи этой уязвимости можно провести dos (не путайте с ddos) атаку. Dos атака способна серьезно нарушить работу Вашего сайта, например, замедлить его работу, а в отдельных случаях может и вовсе его заблокировать. Используя данную уязвимость, злоумышленник также может подменить любой баннер на взломанном сайте. На самом деле возможностей для причинения ущерба Вашему проекту очень много, ведь при помощи javascript, используемого для этих целей, можно сделать практически все. Отдельного внимания достойны уязвимости, известные как SQL injection. Их отличие от XSS заключается в том, что в первом случае атакуется клиент (открытая страница в браузере), а при применении SQL injection атакуется база данных. Используя эту уязвимость, опытный хакер сможет, например, украсть всю базу данных сайта (со всеми логинами, паролями, email и прочим), или же (если у Вас свой интернет-магазин) подменить реквизиты для оплаты — тогда деньги клиентов начнут поступать на его счет. Однако самой опасной из уязвимостей является так называемая PHP injection. Ее грамотное использование вкупе с бездействием или некомпетентностью админа откроет хакеру полный доступ к любому проекту. Ну вот мы и рассказали Вам про самые основные типы уязвимостей; на деле их существует гораздо больше, но, к счастью, они и встречаются в разы реже.
Тем не менее, теперь Вы можете быть полностью спокойны, ведь предлагаемый нами XSS и SQL injection сканер способен обнаружить любые виды уязвимостей.

Как использовать предлагаемые инструменты

Мы уже немного рассказали Вам про XSS и SQL injection сканер, его клиент Find-Compromise, а также Add-on для браузера Find-XSS-Fire. Давайте теперь более подробно разберемся для чего предназначен каждый из этих инструментов, какой из них лучше, и как именно стоит использовать их. Запомните главное: все они служат одной цели — проверить Ваш проект на наличие уязвимостей. Самый важный из них XSS и SQL injection сканер — специальный инструмент, позволяющий выполнять проверку сайтов в онлайн-режиме. В свою очередь его клиент под названием Find-Compromise осуществляет половину своей деятельности на Вашем компьютере, а другую половину, задействуя XSS и SQL injection сканер. Со стороны это может показаться немного запутанным, но на самом деле абсолютно ничего сложного в этом нет, ведь при использовании клиента сканера Find-Compromise Вам не придется загружать свой проект на наш сайт. Следующий по списку — удобный и надежный Add-on для браузера Find-XSS-Fire, являющийся по своей сути еще одним сетевым сканером (аналогично не требует загрузки файлов). В основе его функционирования заложен принцип имитации действий хакера, пытающегося взломать Ваш вебсайт — действуя подобным образом, инструмент полностью собирает всю важную информацию о существующих уязвимостях. Думаем, после ознакомления с принципами работы всех трех инструментов у Вас появился справедливый вопрос — какой именно из них нужно использовать в первую очередь? В подавляющем большинстве случаев можно обойтись XSS и SQL injection сканером (при таком варианте использовать клиент Find-Compromise не обязательно). После этого на всякий случай рекомендуется проверить свой проект при помощи Find-XSS-Fire на localhost (ни в коем случае не проверяйте сайт на обычном хостинге, так как сканер может попросту его сломать). Возможно, этот инструмент сможет найти некоторые дополнительные уязвимости, упущенные при первом сканировании.
У Вас все еще остались вопросы? В таком случае просто свяжитесь с нашей профессиональной службой поддержки, сотрудники которой всегда рады помочь решить любое затруднение.

Поиск и анализ уязвимостей IT-систем / Сканирование с помощью Qualys

Тип *Заявка на услугу «Размещение сервера в ЦОД» (Размещение в ЦОД)Заявка на услугу «Виртуализация сети» (Виртуальная инфраструктура IaaS)Заявка на услугу «Виртуальная инфраструктура Hyper-V» (Виртуальная инфраструктура IaaS)Заявка на услугу «Виртуальная инфраструктура IaaS» (Виртуальная инфраструктура IaaS)Заявка на услугу «Виртуальная инфраструктура IaaS в Санкт-Петербурге» (Виртуальная инфраструктура IaaS)Заявка на услугу «Виртуальная инфраструктура на базе OpenStack (Tionix)» (Виртуальная инфраструктура IaaS)Заявка на услугу «Глобальный балансировщик нагрузки (GSLB)» (Виртуальная инфраструктура IaaS)Заявка на услугу «Катастрофо­устойчивое облако» (Виртуальная инфраструктура IaaS)Заявка на услугу «Облако на базе VMware» (Виртуальная инфраструктура IaaS)Заявка на услугу «Облако, соответствующее 152-ФЗ» (Виртуальная инфраструктура IaaS)Заявка на услугу «Прямое подключение к Azure и AWS» (Виртуальная инфраструктура IaaS)Заявка на услугу «MS SQL в облаке» (Хостинг приложений)Заявка на услугу «MySQL в облаке» (Хостинг приложений)Заявка на услугу «PostgreSQL в облаке» (Хостинг приложений)Заявка на услугу «Приложения SAP» (Хостинг приложений)Заявка на услугу «Хостинг приложений» (Хостинг приложений)Заявка на услугу «Looking glass» (Телеком-услуги)Заявка на услугу «Meet-Me-Room» (Телеком-услуги)Заявка на услугу «VPN как сервис» (Телеком-услуги)Заявка на услугу «Выделенные каналы связи» (Телеком-услуги)Заявка на услугу «Доступ в Интернет» (Телеком-услуги)Заявка на услугу «Оптические волокна» (Телеком-услуги)Заявка на услугу «Телеком-услуги» (Телеком-услуги)Заявка на услугу «Ускорение и защита веб-ресурсов на платформе NGENIX» (Телеком-услуги)Заявка на услугу «Объектное хранилище S3» (Хранение данных)Заявка на услугу «Отказоустойчивая СХД» (Хранение данных)Заявка на услугу «Сбор и хранение логов» (Хранение данных)Заявка на услугу «Хранение данных» (Хранение данных)Заявка на услугу «Active Directory как сервис» (Рабочие места)Заявка на услугу «Аренда Microsoft Office 365» (Рабочие места)Заявка на услугу «Виртуальные рабочие места VDI» (Рабочие места)Заявка на услугу «Виртуальные рабочие места VDI» (Рабочие места)Заявка на услугу «Виртуальные рабочие места VDI» (Рабочие места)Заявка на услугу «Виртуальные рабочие столы VDI» (Рабочие места)Заявка на услугу «Виртуальные рабочие столы на базе Citrix VDI» (Рабочие места)Заявка на услугу «Виртуальные рабочие столы на базе Tionix VDI» (Рабочие места)Заявка на услугу «Корпоративная почта как сервис» (Рабочие места)Заявка на услугу «Мобильное рабочее место WorksPad» (Рабочие места)Заявка на услугу «Облачный диск» (Рабочие места)Заявка на услугу «Облачный диск» (Рабочие места)Заявка на услугу «Платформа для совместной онлайн-работы» (Рабочие места)Заявка на услугу «Рабочее место для аналитика данных (DSVM)» (Рабочие места)Заявка на услугу «Рабочие места» (Рабочие места)Заявка на услугу «Терминальные серверы в облаке» (Рабочие места)Заявка на услугу «Терминальный сервер» (Рабочие места)Заявка на услугу «Внешний мониторинг периметра» (Мониторинг)Заявка на услугу «Мониторинг» (Мониторинг)Заявка на услугу «Облачный мониторинг» (Мониторинг)Заявка на услугу «Управление внешним ЦОД» (Управление внешним ЦОД)Заявка на услугу «PCI DSS и защита платежных данных» (Информационная безопасность)Заявка на услугу «Аудит информационной безопасности» (Информационная безопасность)Заявка на услугу «ГОСТ VPN» (Информационная безопасность)Заявка на услугу «Защита веб-приложений (Web Application Firewall)» (Информационная безопасность)Заявка на услугу «Защита от DDoS» (Информационная безопасность)Заявка на услугу «Защита сети на базе NGFW» (Информационная безопасность)Заявка на услугу «Защита электронной почты» (Информационная безопасность)Заявка на услугу «Информационная безопасность» (Информационная безопасность)Заявка на услугу «Многофакторная аутентификация» (Информационная безопасность)Заявка на услугу «Сканер уязвимостей» (Информационная безопасность)Заявка на услугу «Сканер уязвимостей» (Информационная безопасность)Заявка на услугу «Соответствие 152-ФЗ» (Информационная безопасность)Заявка на услугу «Cassandra как сервис» (Платформенные сервисы)Заявка на услугу «DevOps как сервис» (Платформенные сервисы)Заявка на услугу «Managed ELK» (Платформенные сервисы)Заявка на услугу «Managed Kubernetes» (Платформенные сервисы)Заявка на услугу «MongoDB как сервис» (Платформенные сервисы)Заявка на услугу «MS SQL как сервис» (Платформенные сервисы)Заявка на услугу «MySQL как сервис» (Платформенные сервисы)Заявка на услугу «PostgreSQL как сервис» (Платформенные сервисы)Заявка на услугу «RabbitMQ как сервис» (Платформенные сервисы)Заявка на услугу «Redis как сервис» (Платформенные сервисы)Заявка на услугу «Базы данных в облаке (DBaaS)» (Платформенные сервисы)Заявка на услугу «Платформенные сервисы» (Платформенные сервисы)Заявка на услугу «Облако в добрые руки» (Потеряное)Заявка на услугу «Администрирование SAP» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Администрирование баз данных» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Администрирование ИБ» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Администрирование ИТ-инфраструктуры и систем» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Администрирование операционных систем» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Администрирование приложений» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Администрирование сети» (Администрирование ИТ-инфраструктуры и систем)Заявка на услугу «Резервное копирование» (Резервное копирование)Заявка на услугу «Резервное копирование Office 365» (Резервное копирование)Заявка на услугу «Резервное копирование виртуальных машин (VMware Backup)» (Резервное копирование)Заявка на услугу «Резервное копирование данных» (Резервное копирование)Заявка на услугу «Disaster Recovery как сервис» (Послеаварийное восстановление (DR))Заявка на услугу «Восстановление виртуальных машин в облаке DataLine» (Послеаварийное восстановление (DR))Заявка на услугу «Послеаварийное восстановление (DR)» (Послеаварийное восстановление (DR))Заявка на услугу «Облачное видеонаблюдение для банка» (Видеонаблюдение как сервис)Заявка на услугу «Облачное видеонаблюдение для бизнеса» (Видеонаблюдение как сервис)Заявка на услугу «Облачное видеонаблюдение для магазина» (Видеонаблюдение как сервис)Заявка на услугу «Облачное видеонаблюдение для офиса» (Видеонаблюдение как сервис)Заявка на услугу «Облачное видеонаблюдение для предприятия» (Видеонаблюдение как сервис)Заявка на услугу «Облачное видеонаблюдение для склада» (Видеонаблюдение как сервис)Заявка на услугу «Облачное видеонаблюдение для строительства» (Видеонаблюдение как сервис)Заявка на услугу «Платформа управления данными» (Платформа управления данными)Заявка на услугу «Платформа управления данными от DataOffice Ростелеком» (Платформа управления данными)

Имя и фамилия *

Компания *

Должность *

Телефон *

Корпоративная почта *

Комментарий

Даю согласие на обработку моих данных согласно политике обработки персональных данных DataLine

Cогласие на обработку персональных данных *

ЯМ UserId

GA ClientID

Даю согласие на получение рассылки о сервисах и мероприятиях DataLine

Подписка на новости

First Click

Last Click

Оставьте это поле пустым

Я не спамер

Я спамер

CAPTCHA

Этот вопрос задается для того, чтобы выяснить, являетесь ли Вы человеком или представляете из себя автоматическую спам-рассылку.

18 : 6 = *

Отправить заявку

Сканер веб-сайтов в Интернете — Быстрый поиск уязвимостей

Версия сканера Full включает все тесты из сканирования Light и добавляет более сложные тесты безопасности. Сначала он сканирует целевое приложение, затем отправляет различные входные данные в параметры страниц и ищет определенные веб-уязвимости, такие как внедрение SQL, межсайтовые сценарии, включение локальных файлов, внедрение команд ОС и многие другие.
Кроме того, сканер также пытается обнаружить конфиденциальные файлы с сервера, такие как файлы резервных копий, старые файлы, интерфейсы администратора, файлы архивов и т. Д.

В то время как Light Scan является пассивным и генерирует максимум 20 HTTP-запросов к серверу, Full Scan является более агрессивным и отправляет до 10 000 HTTP-запросов. Это может вызвать срабатывание сигнализации от устройств IDS, но вы должны знать, что это не деструктивное сканирование.

Поскольку Full Scan выполняет всестороннюю оценку веб-сайта, это может занять до нескольких часов.

Сканирование с аутентификацией

Сканер уязвимостей веб-сайтов может сканировать целевое веб-приложение как аутентифицированный пользователь.Аутентификацию можно настроить двумя способами:

• Аутентификация пользователя / пароля : Если выбран этот параметр, сканер сначала попытается аутентифицироваться по указанному URL-адресу для входа и получить действительный файл cookie сеанса. Этот файл cookie будет использоваться со всеми HTTP-запросами к серверу, выполняя сканирование с проверкой подлинности. У вас есть возможность проверить, была ли аутентификация успешной, до фактического запуска сканирования.
• Аутентификация файлов cookie : с помощью этой опции вы можете указать уже действующий файл cookie сеанса (или несколько файлов cookie), который будет отправляться с каждым HTTP-запросом на сервер.Сначала вы должны получить файл cookie сеанса, вручную войдя в целевое приложение с помощью веб-браузера и передав cookie из браузера в сканер (копирование / вставка).
• Аутентификация заголовков : этот параметр позволяет указать настраиваемые заголовки HTTP, которые будут отправляться с каждым запросом в целевое приложение. Их можно использовать для аутентификации (например, токены JWT, базовая аутентификация и т. Д.) Или для других конкретных функций приложения.
• Записанная аутентификация : Этот метод дает вам возможность записывать шаги, необходимые для аутентификации, в цель. Сканер будет использовать эту запись, повторяя действия и получая действительный сеанс каждый раз, когда он обнаруживает, что снова требуется вход в систему.

12 бесплатных онлайн-инструментов для сканирования уязвимостей безопасности веб-сайтов и вредоносного ПО

Сканируйте свой веб-сайт, блог на предмет уязвимостей системы безопасности, вредоносных программ, троянов, вирусов и сетевых угроз

Одно из самых популярных разговоров в области информационных технологий — это веб-безопасность.Сегодня существуют сотни веб-уязвимостей, и ниже приведены некоторые из наиболее распространенных.

Мы часто уделяем внимание дизайну веб-сайтов, SEO, содержанию и недооцениваем область безопасности. Для владельца веб-сайта безопасность в Интернете должна иметь большее значение.

Было много вопросов о том, как сканировать на предмет безопасности веб-сайтов и уязвимостей мобильных приложений, так что готово. В этой статье будут перечислены некоторые из лучших инструментов для сканирования вашего сайта на наличие уязвимостей, вредоносных программ и сетевых угроз.

СУКУРИ

SUCURI — один из самых популярных бесплатных сканеров вредоносных программ и безопасности для веб-сайтов. Вы можете провести быструю проверку на наличие вредоносных программ, статуса внесения в черный список, внедренного спама и дефейсов.

SUCURI также помогает очистить и защитить ваш сайт от онлайн-угроз и работает на любых платформах веб-сайтов, включая WordPress, Joomla, Magento, Drupal, phpBB и т. Д.

Qualys

SSL Server Test от Qualys необходим для сканирования вашего веб-сайта на предмет неправильной конфигурации SSL / TLS и уязвимостей.Он обеспечивает углубленный анализ вашего URL-адреса https: // , включая дату истечения срока действия, общий рейтинг, шифр, версию SSL / TLS, моделирование рукопожатия, сведения о протоколе, BEAST и многое другое.

Рекомендуется запускать тест Qualys после внесения любых изменений, связанных с SSL / TLS.

Quttera

Quttera проверяет сайт на наличие вредоносных программ и эксплойтов уязвимостей.

Он сканирует ваш сайт на наличие вредоносных файлов, подозрительных файлов, потенциально подозрительных файлов, PhishTank, безопасного просмотра (Google, Яндекс) и списка доменов вредоносного ПО.

Злоумышленник

Intruder — это мощный облачный сканер уязвимостей, позволяющий находить слабые места во всей инфраструктуре веб-приложений. Он готов к работе и предлагает простой механизм сканирования безопасности правительственного и банковского уровней.

Его надежные проверки безопасности включают идентификацию:

• Отсутствующие исправления
• Неправильная конфигурация
• Проблемы с веб-приложением, такие как внедрение SQL и межсайтовые сценарии
• Проблемы с CMS

Intruder экономит ваше время, устанавливая приоритеты результатов в зависимости от их контекста и проактивно сканируя ваши системы на наличие последних уязвимостей.Он также интегрируется с основными поставщиками облачных услуг (AWS, GCP, Azure) и Slack & Jira.

Вы можете бесплатно попробовать Intruder в течение 30 дней.

UpGuard

UpGuard Web Scan — это внешний инструмент оценки рисков, который использует общедоступную информацию для оценки.

Результаты испытаний разделены на следующие группы.

• Риски сайта
• Риски электронной почты
• Сетевая безопасность
• Фишинг и вредоносное ПО
• Защита бренда

Хорошо, чтобы быстро обеспечить безопасность вашего веб-сайта.

SiteGuarding

SiteGuarding помогает сканировать ваш домен на наличие вредоносных программ, занесения веб-сайтов в черный список, спама, искажений и многого другого. Сканер совместим с WordPress, Joomla, Drupal, Magento, osCommerce, Bulletin и другой платформой.

SiteGuarding также помогает удалить вредоносные программы с вашего веб-сайта, поэтому, если ваш сайт поражен вирусами, они будут вам полезны.

Обсерватория

Mozilla недавно представила обсерваторию, которая помогает владельцу сайта проверять различные элементы безопасности.Он проверяет безопасность заголовков OWASP, передовые методы TLS и выполняет сторонние тесты из лабораторий SSL, High-Tech Bridge, заголовков безопасности, предварительной загрузки HSTS и т. Д.

Сканер веб-файлов cookie

Web Cookies Scanner — это бесплатный универсальный инструмент безопасности, подходящий для сканирования веб-приложений. Он может искать уязвимости и проблемы конфиденциальности в HTTP-файлах cookie, Flash-апплетах, HTML5 localStorage, sessionStorage, Supercookies и Evercookies. Инструмент также предлагает бесплатный сканер вредоносных программ URL-адресов и сканер уязвимостей HTTP, HTML и SSL / TLS.

Чтобы использовать этот инструмент, вам необходимо ввести полное доменное имя вашего сайта и нажать Проверить! Через некоторое время вы получите полный отчет об уязвимостях, содержащий подробную информацию обо всех обнаруженных проблемах и общую оценку воздействия на конфиденциальность.

Вы можете использовать услугу по запросу бесплатно без ограничений или подписаться на бесплатную пробную версию полностью автоматизированного RESTful API с различными планами, которые предлагают от 100 до неограниченного количества сканирований API в месяц.

Обнаружить

Полностью поддерживаемая этическими хакерами, служба безопасности домена и веб-приложений Detectify предлагает автоматическую безопасность и мониторинг активов для обнаружения более 1500 уязвимостей.

Его возможности сканирования уязвимостей включают OWASP Top 10, CORS, Amazon S3 Bucket и неправильные конфигурации DNS. Служба мониторинга активов непрерывно отслеживает поддомены, выявляя враждебные поглощения и предупреждая об обнаружении аномалий.

Detectify предлагает три тарифных плана: начальный, профессиональный и корпоративный. Все они начинаются с 14-дневной бесплатной пробной версии, которую вы можете использовать без использования кредитной карты.

Пробный

Probely предоставляет виртуального специалиста по безопасности, которого вы можете добавить в свою команду разработчиков, группу безопасности, DevOps или SaaS бизнес.Этот специалист по безопасности просканирует ваше веб-приложение и найдет все его уязвимости. Вы можете думать о Probely как о семейном докторе, который периодически проводит диагностику и подскажет, что делать, чтобы исправить любую проблему.

Это инструмент, в основном созданный для разработчиков, позволяющий им быть более независимыми, когда дело доходит до тестирования безопасности. Его подход к разработке API-First гарантирует, что любые функции будут сначала доступны в версии API службы. У него много тарифных планов, в том числе бесплатный с возможностью легкого сканирования.

Пентест-инструменты

Сканер уязвимостей веб-сайтов — это полный набор инструментов, предлагаемых Pentest-Tools, которые включают решение для сбора информации, тестирования веб-приложений, тестирования CMS, тестирования инфраструктуры и тестирования SSL. В частности, сканер веб-сайтов предназначен для обнаружения распространенных уязвимостей веб-приложений и проблем конфигурации сервера.

Компания предлагает облегченную версию инструмента, которая выполняет пассивное сканирование веб-безопасности.Он может обнаруживать множество уязвимостей, включая небезопасные настройки файлов cookie, небезопасные заголовки HTTP и устаревшее серверное программное обеспечение. Вы можете выполнить до двух бесплатных полных сканирований своего веб-сайта, чтобы получить исчерпывающую оценку. Результаты расскажут вам об уязвимостях, таких как включение локального файла, внедрение SQL, внедрение команд ОС, XSS и другие.

ImmuniWeb

Один из популярных сканеров безопасности веб-сайтов, ImmuniWeb, проверяет ваш сайт на соответствие следующим стандартам.

• Соответствие PCI DSS и GDPR
• HTTP-заголовки, включая CSP
• Специальный тест CMS для сайтов WordPress и Drupal
• Уязвимости интерфейсной библиотеки

Если вы используете WordPress, вы можете протестировать свой сайт с помощью сканера безопасности WordPress.

Заключение

Вышеупомянутый сканер безопасности пригоден для однократного или многократного тестирования по требованию. Однако, если вам нужно регулярно сканировать, вы можете использовать сканер уязвимостей с открытым исходным кодом или на основе SaaS.

11 лучших сканеров веб-уязвимостей

Определены сканеры веб-уязвимостей

Сканеры веб-уязвимостей просматривают страницы веб-приложений для обнаружения уязвимостей безопасности, вредоносных программ и логических ошибок. Они делают это, генерируя вредоносные входные данные и оценивая ответы приложения.Сканеры веб-уязвимостей, часто называемые динамическим тестированием безопасности приложений (DAST), представляют собой тип тестирования черного ящика; они выполняют только функциональное тестирование и не сканируют исходный код приложения.

Зачем нужны сканеры веб-уязвимостей

Уровень приложений остается наиболее подверженным атакам в современном ландшафте угроз. Сканеры веб-уязвимостей — лучший способ защитить ваше веб-приложение от злоумышленников. Из-за увеличения количества атак ручное тестирование не успевает.Инструменты автоматического тестирования безопасности необходимы при защите современных веб-приложений.

11 наших любимых сканеров уязвимостей в Интернете

Мы составили список некоторых из наших любимых сканеров уязвимостей в Интернете. Читайте краткий обзор! А теперь в произвольном порядке…

Нетспаркер

Netsparker — это облачное локальное решение, которое помогает управлять всем жизненным циклом безопасности приложений с помощью автоматической оценки уязвимостей. Он обнаруживает и проверяет уязвимости, используя их в безопасной среде, доступной только для чтения.Об уязвимостях сообщается только после того, как они воспроизводятся в тестовой среде, чтобы уменьшить количество ложных срабатываний, что значительно экономит время специалистов по безопасности.

Netsparker также поддерживает планирование обслуживания, защиту первой десятки OWASP, аудит безопасности базы данных и обнаружение активов. Когда технология сканирования Netsparker сочетается со встроенными инструментами рабочего процесса, организации получают решение веб-приложений с обратной связью, которое обеспечивает долгосрочную безопасность всех их веб-приложений на всех этапах SDLC.

Rapid7 insightAppSec

Среди инструментов DAST, получивших наивысший рейтинг Gartner, insightAppSec от Rapid7 автоматически сканирует и оценивает веб-приложения для выявления распространенных уязвимостей, таких как внедрение SQL, XSS и CSRF.

InsightAppSec

Rapid7 включает универсальный переводчик, который нормализует трафик, понимая форматы, протоколы и технологии разработки, используемые в современных веб-приложениях, а затем атакует приложения для обнаружения уязвимостей. В настоящее время он тестирует более 95 различных типов атак и имеет функцию воспроизведения атаки, которую разработчики могут использовать для воспроизведения сканирования, чтобы подтвердить, что уязвимости реальны, что экономит время и снижает риск.

Сканер веб-уязвимостей Acunetix

С 1997 года Acunetix занимается тестированием безопасности веб-приложений в самых сложных средах. Решение Acunetix DAST предлагает встроенную оценку уязвимостей и управление ими, а также интегрируется с рядом инструментов разработки программного обеспечения, такими как Jenkins или сторонними системами отслеживания проблем, такими как Jira, GitLab, GitHub, TFS, Bugzilla и Mantis. Он вписывается в современные методы DevSecOps для экономии ресурсов организации за счет упрощения исправлений и предотвращения поздней установки исправлений.

Acunetix предлагает множество инновационных функций, включая расширенное тестирование SQL-инъекций и межсайтовых сценариев (XSS), расширенные инструменты тестирования на проникновение и расширенные отчеты. Организации могут использовать API Acunetix для подключения к другим средствам управления безопасностью и программному обеспечению, разработанным третьими сторонами.

Снижение рисков безопасности корпоративных приложений:

Необходимо сделать больше работы

Люкс PortSwigger Burp

У каждого специалиста по безопасности есть свои любимые инструменты; тот, который обязательно возглавит многие списки, — это Burp Suite.Burp Suite — это комплексная платформа для тестирования безопасности веб-приложений. Он может действовать как посредник, перехватывающий трафик из браузеров на веб-страницу, позволяя вам изменять и автоматизировать изменения в запросах веб-страниц. Burp Suite также можно использовать для подробного перечисления и анализа веб-приложений.

HCL AppScan

HCL AppScan разработан для экспертов по безопасности и пентестеров, выполняющих тесты безопасности веб-приложений и веб-сервисов. Он выполняет автоматическое сканирование для выявления, понимания и устранения уязвимостей, а также для обеспечения соответствия нормативным требованиям.

Сканеры

AppScan постоянно обновляются экспертами по безопасности, чтобы быть в курсе новых технологий и тактик атак. Мощная аналитика приоритизирует результаты сканирования, чтобы свести к минимуму ложные срабатывания и в первую очередь устранить уязвимости высокой степени серьезности. Отчетность является гибкой с исполнительными отчетами для владельцев приложений и техническими отчетами для разработчиков и системных инженеров, которые включают информацию по исправлению и оценки CVSS.

Сканер веб-приложений Qualys

Компания Qualys, основанная в 1999 году, была одной из первых компаний по обеспечению безопасности SaaS.Qualys Web Application Scanning позволяет пользователям находить и исправлять дыры в безопасности как в веб-приложениях, так и в API. Помимо обнаружения уязвимостей, Qualys также ищет неправильные конфигурации, которые могут представлять угрозу безопасности. Полностью облачная система Qualys проста в развертывании и управлении, а также масштабируется до миллионов активов.

Tenable Nessus

Компания Tenable Nessus, признанная Forrester лидером в области управления рисками уязвимостей, предлагает комплексную платформу управления уязвимостями, которая идентифицирует и защищает любые цифровые активы на любой вычислительной платформе.

Специалистам по безопасности нравится Tenable, потому что он прост в использовании и выполняет полный анализ уязвимостей и соответствия на компьютерах, серверах, сетевых устройствах и т. Д. Tenable позволяет вам взять на себя ответственность за свою программу кибербезопасности, обнаруживая, оценивая, устанавливая приоритеты, исправляя и измеряя все активы в вашей организации.

Мистер Сканер

Сканированию веб-безопасности Mister Scanner доверяют более 150 000 компаний по всему миру. Он сканирует веб-приложения на наличие уязвимостей, таких как SQL-инъекция, межсайтовые сценарии, подделка межсайтовых запросов, первая десятка OWASP, вредоносное ПО и многое другое.

Отчеты о безопасности

Mister Scanner также легко понять и использовать, поскольку они определяют проблему безопасности, способы ее использования хакерами и способы ее решения. Эти еженедельные отчеты о безопасности создаются после тестирования более 1000 проблем безопасности, которые сегодня часто используются хакерами. Mister Scanner также своевременно предупреждает вас о потенциальной угрозе до простоя.

Обнаружить

Detectify обеспечивает автоматическую безопасность и мониторинг активов для веб-приложений и баз данных.Он сканирует более 2000 уязвимостей и отслеживает активы по всему стеку технологий. Detectify — это современный сканер безопасности веб-приложений, который легко интегрируется в ваш SDLC. Результаты сканирования очень точны и выходят за рамки стандартных библиотек CVE, чтобы обеспечить полный охват. Благодаря непрерывному мониторингу система предупреждает пользователей об обнаружении аномалий, предотвращая захват поддоменов.

Пробелы

Probely — удобный для разработчиков сканер веб-уязвимостей, ориентированный на API, со всеми функциями, доступными через API.Он находит уязвимости безопасности в веб-приложениях и предлагает пошаговые инструкции о том, где и как исправить каждую уязвимость в зависимости от языка программирования.

Пользователям нравится, как Probely интегрирует тестирование безопасности в конвейеры непрерывной интеграции, что увеличивает скорость доставки программного обеспечения. Функции автоматизации Probely выполняют утомительную работу по обеспечению безопасности, позволяя инженерам по безопасности сосредоточиться на критических угрозах. Его можно использовать для проверки конкретных требований PCI-DSS, ISO27001, HIPAA и GDPR.

UpGuard

UpGuard помогает компаниям снизить риск кибербезопасности, обнаруживая уязвимости данных и контролируя риски третьих лиц. Он использует рейтинги безопасности и постоянное обнаружение утечек данных для предотвращения нарушений безопасности. Пользователи говорят, что UpGuard легко внедрить, помогает отслеживать рабочие процессы, контролировать безопасность поверхности и определять приоритеты рисков для простого и эффективного устранения. UpGuard использует комбинацию сторонних оценок безопасности, анкет поставщиков и аналитики угроз, чтобы помочь организациям снизить свои риски.

Сканеры веб-уязвимостей уменьшают ваш риск

Сканеры веб-уязвимостей обнаруживают угрозы и защищают ваши веб-приложения. Без них вы рискуете раскрыть конфиденциальные данные, простои или что-то еще хуже. Если вы еще не сканируете свои веб-приложения, возможно, вам стоит обратиться к одному из перечисленных выше поставщиков. Риск слишком велик, чтобы его игнорировать.

Знакомьтесь, автор

Джули Петерсон

Джули Петерсон пишет обо всем, что касается безопасности приложений и открытого исходного кода для WhiteSource Software.

Burp Scanner — сканер веб-уязвимостей от PortSwigger

Обзор

Сканер отрыжки

Созданный на основе многолетних исследований, Burp Scanner находит уязвимости, которые необходимо устранить.

Сканер веб-уязвимостей, который делает больше

Сканер веб-уязвимостей, стоящий за популярностью Burp Suite, имеет большее значение, чем большинство других.Burp Scanner использует ведущее в мире исследование PortSwigger, чтобы помочь своим пользователям автоматически находить широкий спектр уязвимостей в веб-приложениях.

Сканер Burp, лежащий в основе как Burp Suite Enterprise Edition, так и Burp Suite Professional, является лучшим оружием для многих.
55 000 пользователей в более чем 14 000 организаций.

опрошенных тестеров на проникновение согласны с тем, что Burp Suite является «лучшим в своем классе» программным обеспечением. ^{Источник: исследование TechValidate клиентов PortSwigger}

Посмотреть другие истории клиентов

Сканер Burp Scanner имитирует человека-пользователя — избегая препятствий

Ползание

Автоматическое преодоление препятствий

Механизм сканирования

Burp Scanner преодолевает препятствия, такие как токены CSRF, функциональность с отслеживанием состояния, а также перегруженные или изменчивые URL-адреса, как будто их даже нет. А благодаря встроенному браузеру Chromium он будет обрабатывать и сканировать даже приложения с большим количеством JavaScript, с которыми борются другие сканеры веб-уязвимостей.

Карта сайта Burp Suite Professional упрощает доступ к обнаруженному контенту

Открытие

Раскройте больше возможностей для атаки

Усовершенствованный алгоритм сканирования, используемый Burp Scanner, создает профиль своей цели аналогично тестеру. Он разработан для обработки динамического контента, нестабильных интернет-соединений, множества определений API и огромного количества современных веб-приложений. Это означает гораздо меньше неудачных сканирований — и больше возможностей для атаки.

«С самого начала Burp Scanner создавался так, чтобы воспроизводить действия опытного ручного тестировщика. Этот подход продолжается и сегодня,
и Burp Scanner разработан ведущей в мире группой исследователей веб-безопасности ».

Дафидд Статтард

Основатель и генеральный директор PortSwigger

Отпечатки местоположения делают сканирование более эффективным

Производительность

Меньше запросов; более быстрое сканирование

Burp Scanner экономит огромное количество времени и потраченных впустую усилий.Архитектура современных веб-приложений может создавать воронки, которые будут поглощать запросы, если ваш сканер уязвимостей не подготовлен. Burp Scanner использует методы определения местоположения, чтобы идентифицировать эти области, что значительно сокращает количество запросов, сделанных во время тестирования.

Burp Scanner автоматизирует новейшие методы кибербезопасности

Опыт

Непревзойденная защита от уязвимостей нулевого дня

PortSwigger поддерживает инновации.Мы гордимся тем, что у нас работает лучшая в мире команда исследователей безопасности. Создатель Burp Suite написал книгу, которая воспитала целое поколение пентестеров. А поскольку мы регулярно обнаруживаем новые уязвимости (например, атаки с рассинхронизацией HTTP), пользователи Burp Scanner должны быть защищены от них в первую очередь — до того, как хакеры получат шанс нанести удар.

«Burp Scanner способен обнаруживать множество критических уязвимостей, которые может найти даже опытный ручной тестер.
легко пропустить — как отложенная асинхронная инъекция команд.«

Джеймс Кеттл

PortSwigger Директор по исследованиям

Меню конфигурации Burp Scanner, как в Burp Suite Enterprise Edition

Уязвимости

Тест на огромное количество проблем

Помимо получения регулярных обновлений, Burp Scanner способен обнаруживать огромный список существующих уязвимостей в веб-приложениях. Проверки сканирования могут быть выбраны индивидуально или по группе, а также могут быть сохранены пользовательские конфигурации.Например, можно создать конфигурацию сканирования, чтобы сообщать только об уязвимостях, появляющихся в OWASP Top 10.

Burp Scanner впервые применил сканирование OAST

Новаторский

Изменение парадигмы

Automated OAST (внеполосное тестирование безопасности приложений) было впервые предложено PortSwigger. Burp Collaborator идентифицирует взаимодействия между своей целью и внешним сервером. Это позволяет ему проверять ошибки, невидимые для обычных сканеров, включая асинхронную SQL-инъекцию и слепой SSRF.Затем результаты стандартно отображаются в отчетах Burp Scanner.

Сканирование OAST обеспечивает минимальное количество ложных срабатываний — и может обнаруживать ошибки, которых не обнаруживают другие методы.

Надежность

Улучшенное отношение сигнал / шум

Burp Scanner использует смешанную методологию, разработанную с учетом соотношения сигнал / шум. Это максимизирует охват, сводя к минимуму количество ложных срабатываний, возвращаемых пользователю. В частности, тестирование OAST дает чрезвычайно низкий уровень ложных срабатываний, открывая при этом новые горизонты с точки зрения типов уязвимостей, которые оно может найти.

Учитывая, что Burp Scanner обнаруживает новейшие типы веб-уязвимостей, обнаруженные PortSwigger Research, eTrends s.r.o. сказал, что для их способности обнаруживать уязвимости критически важно то, что они
не может с другими инструментами.
^{Источник: исследование TechValidate клиентов PortSwigger}

Посмотреть другие истории клиентов

Радек Смолик

Тестер проникновения

Откройте для себя лучший способ сканирования

Получите бесплатную пробную версию Burp Suite

Что такое сканирование на уязвимости в Интернете? Руководство от PortSwigger

Направляющая PortSwigger

Как сканирование веб-уязвимостей может помочь мне найти уязвимости?

Что такое сканирование уязвимостей?

Сканирование уязвимостей обычно считается наиболее эффективным способом проверки вашего сайта на наличие огромного списка известных уязвимостей и выявления потенциальных слабых мест в безопасности ваших приложений.Сканирование уязвимостей можно использовать как часть автономной оценки или как часть непрерывной общей стратегии мониторинга безопасности.

Что такое сканер веб-уязвимостей?

Сканеры уязвимостей — это автоматизированные инструменты, которые сканируют веб-приложения для поиска уязвимостей. Они тестируют веб-приложения на предмет распространенных проблем безопасности, таких как межсайтовый скриптинг (XSS), SQL.
инъекция и подделка межсайтовых запросов (CSRF).

Сканеры с более широкими возможностями могут глубже проникнуть в приложение, используя более продвинутые методы. Новаторские методы тестирования прикладных систем означают, что Burp Scanner, движок
Используя продукты для тестирования безопасности приложений Burp Suite, можно найти уязвимости, которые могут пропустить многие другие сканеры, включая, например, асинхронную SQL-инъекцию и слепой SSRF.

Узнайте, чем отличается Burp Scanner

опрошенных клиентов согласны с тем, что они выполняют свою работу более эффективно с помощью Burp Suite. ^{Источник: исследование TechValidate клиентов PortSwigger}

Посмотреть другие истории клиентов

Как работает сканер веб-уязвимостей?

Сканеры веб-уязвимостей

работают за счет автоматизации нескольких процессов. К ним относятся поиск и сканирование приложений, обнаружение стандартного и общего содержимого, а также поиск общих
уязвимости.

Существует два основных подхода к сканированию уязвимостей — пассивный и активный. Пассивное сканирование выполняет ненавязчивые проверки, просто просматривая элементы, чтобы определить, уязвимы ли они.
Вы можете визуализировать этот метод, представив дверь, но не касаясь ее, чтобы увидеть, открыта она или заперта. Если дверь закрыта, это означает конец этой ветви вашего расследования.

С другой стороны, активное сканирование — это смоделированная атака на ваш сайт с целью получения доступа к уязвимостям так, как они могут показаться постороннему.Если вы визуализируете это как дверь, тот факт, что это может быть
закрытый не будет тупиком. Вместо этого ваше расследование подтолкнет вас проверить дверь, возможно, взломать замок или даже взломать вход.

Некоторые типы сканирования также включают аутентификацию, при которой сканер использует разрешения доступа, чтобы определить, есть ли в приложении другие открытые или закрытые «двери». Некоторые сканеры могут приобретать
эти разрешения доступа сами по себе, и некоторые из них потребуют их предоставления до тестирования.

Затем сканер выдаст отчет с различной степенью детализации в зависимости от типа выполненного сканирования. Этот отчет обычно включает в себя конкретный запрос и ответ, которые приложение использовало для диагностики каждого
сообщила об уязвимости, что позволяет опытному пользователю вручную исследовать и подтвердить наличие ошибки.

Как сканер веб-уязвимостей «отображает» приложение?

Некоторые сканеры частично автоматизируют отображение сайтов с помощью пауков.Более современные сканеры используют сканирование — при этом сканер детализирует все возможные пути, по которым может пойти пользователь, и то, как на его путешествие могут повлиять ссылки.
и другие навигационные переходы.

Современные приложения содержат много состояний. Например, на сайте электронной коммерции может быть страница, предназначенная для отображения вашей «корзины» — эта страница может выглядеть почти так же, независимо от того, есть ли у вас что-то в этом
«корзина» или нет, за исключением кнопки «оформить заказ».Итерация страницы, содержащей кнопку «оформить заказ» или элементы в «корзине», является отдельным состоянием, которое сканер должен учесть.

Высокопроизводительные сканеры

, как правило, предоставляют вам варианты настройки на различных этапах сканирования, включая настройку сканирования, область таргетинга, уязвимости, которые необходимо оценить, и подробности пост-сканирования.
подготовленные отчеты.

Узнайте, как сканировать веб-сайт на наличие ошибок с помощью Burp Scanner

Какие наиболее распространенные уязвимости обнаруживаются при автоматическом сканировании?

Сканеры с определенной степенью надежности могут обнаружить несколько категорий распространенных уязвимостей.Некоторые сканеры могут обнаруживать более широкий спектр уязвимостей, например, если их логика более
часто обновляется. Регулярные обновления могут сыграть большую роль в поддержании вашей безопасности — как только уязвимость становится общедоступной, она также становится общедоступной для хакеров. Это нужно учитывать, когда
выбор инструмента сканирования уязвимостей.

Уязвимости, надежно обнаруживаемые стандартными сканерами, включают, но не обязательно ограничиваются:

Отраженный межсайтовый скриптинг (XSS)

Автоматические сканеры обычно отправляют тестовые строки, содержащие разметку HTML, и ищут в ответах эти строки, что позволяет им обнаруживать основные недостатки XSS.

Простые списки каталогов

Этот тип уязвимости можно определить, запросив путь к каталогу и найдя ответ, содержащий текст, похожий на список каталогов.

Обход каталога

Некоторые уязвимости обхода пути могут быть обнаружены путем отправки последовательности обхода, нацеленной на известный файл, и поиска ответа на появление этого файла.

Некоторые уязвимости внедрения команд

Эти типы уязвимостей часто можно обнаружить, введя команду, которая вызывает задержку по времени или отображает конкретную строку в ответе приложения.

SQL-инъекция

Это позволяет злоумышленнику вмешиваться в запросы, которые приложение делает к своей базе данных.Иногда это можно обнаружить с помощью базовых полезных данных, предназначенных для создания распознаваемых сообщений об ошибках.

Открытое перенаправление

Сканер проверяет эти уязвимости, отправляя полезные данные, предназначенные для проверки того, может ли параметр вызывать перенаправление на произвольный внешний домен.

Автоматические сканеры обычно полагаются на единую методологию тестирования безопасности приложений — это одна из причин большого количества ложных срабатываний, производимых некоторыми сканерами.Сканер отрыжки
опирается на разнообразный арсенал техник для создания более полной картины. Это уникальное сочетание методов AST обеспечивает максимальное покрытие при минимальном количестве ложных срабатываний.

Какой сканер уязвимостей самый лучший?

Не существует настоящих тестов для оценки сканера уязвимостей, поскольку каждый из них обычно имеет свои сильные и слабые стороны в зависимости от вашего варианта использования.Имейте в виду, что даже если поставщик представляет критерии оценки своих
сканера, эти данные могут сильно склоняться в их пользу. Каким бы ни был ваш случай использования, важно выбрать тип сканера, который поставляется в той упаковке, в которой он вам нужен, чтобы вы могли взяться за дело.

Оба продукта для тестирования безопасности приложений

PortSwigger используют один и тот же базовый сканер веб-уязвимостей — Burp Scanner. Независимо от того, хотите ли вы программное обеспечение, разработанное для индивидуального тестировщика, стремящегося улучшить рабочие процессы, или предприятия, желающие
Для масштабирования и автоматизации есть Burp Suite для всех.

Я использую Burp Suite более 10 лет, чтобы выявить трудно обнаруживаемые уязвимости в веб-приложениях для моих клиентов. Добавление сканера уязвимостей помогает ускорить процесс тестирования и обеспечить
базовый уровень анализа всех частей веб-приложения и позволяет мне сосредоточить усилия на более сложных и труднодоступных уязвимостях. ^{Источник: исследование TechValidate клиентов PortSwigger}

Посмотреть другие истории клиентов

Тревор Стевадо

Тестер проникновения

Часто задаваемые вопросы

Насколько надежны сканеры уязвимостей при поиске ошибок?

Надежность сканера уязвимостей будет зависеть от методов тестирования, которые он запускает, а также от того, как часто обновляется его логика сканирования.Автоматические сканеры способны обнаруживать самые разные
типов уязвимостей, но в настоящее время не являются полной заменой тестирования на проникновение под руководством человека.

Производят ли сканеры уязвимостей ложные срабатывания?

Все сканеры веб-уязвимостей в большей или меньшей степени дают ложные срабатывания.Сканер Burp Scanner использует несколько методов AST для подтверждения результатов и, таким образом, минимизирует количество ложных срабатываний.

Какого рода покрытие можно ожидать от сканера уязвимостей?

Сканеры

не могут обнаружить все типы уязвимостей — их надежность зависит от таких факторов, как тип тестирования и сложность логики сканирования.Уязвимости со стандартными сигнатурами,
такие как межсайтовый скриптинг (XSS), могут быть надежно обнаружены.

Более сложные нестандартные типы уязвимостей гораздо сложнее обнаружить с помощью автоматического сканера. К ним относятся уязвимости, связанные с изменением значения параметра таким образом, чтобы
значение внутри приложения — например, неработающие средства управления доступом.Если автоматический сканер попытается найти подобные уязвимости, он, скорее всего, вернет большое количество ложных срабатываний.

У разных сканеров уязвимостей разные результаты?

Да. Обнаруженные уязвимости также будут различаться в зависимости от типа используемой техники сканирования. Некоторые сканеры уязвимостей могут быть настроены для запуска пользовательского сканирования, которое, естественно, приведет к
разные результаты.

Безопасны ли сканеры уязвимостей для начинающих?

Использование сканера уязвимостей может привести к неожиданным результатам в некоторых приложениях. Пока вы полностью не ознакомитесь с его функциями и настройками, вам следует использовать только сканер уязвимостей.
против непроизводственных систем.

Законно ли использовать сканер уязвимостей?

Вы всегда должны проверять законность сканирования веб-уязвимостей в тестируемых приложениях, прежде чем использовать сканер уязвимостей. Вы также должны убедиться, что у вас есть
разрешение на сканирование уязвимостей перед началом любой такой деятельности.Делать это без разрешения незаконно.

Сканирование уязвимостей — это то же самое, что и тестирование на проникновение?

Хотя некоторые аспекты тестирования на проникновение можно автоматизировать, ручное тестирование по-прежнему нельзя полностью заменить автоматизацией. Таким образом, сканирование уязвимостей отделено от тестирования на проникновение
ручные аспекты процесса тестирования, такие как нестандартное мышление или интуиция, управляемая человеком.Мы рекомендуем сочетать ручное и автоматическое тестирование, чтобы обеспечить максимальную эффективность.
уровень гарантии безопасности.

Насколько конфиденциальны сканеры уязвимостей?

Не все сканеры уязвимостей полностью анонимны, но большинство из них дает вам возможность изменить настройки анонимности.PortSwigger придает большое значение конфиденциальности пользователей Burp Suite. Это означает
что, пока мы собираем некоторые основные данные об использовании, вы можете легко отключить это. И в данном случае «выкл» означает «выкл.».

Откройте для себя Burp Suite

Подробнее об исследовательском сканировании

13 самых популярных сканеров уязвимостей для профессионалов в области кибербезопасности

Сканеры уязвимостей — это ценные инструменты, которые ищут и сообщают о том, какие известные уязвимости присутствуют в ИТ-инфраструктуре организации.Использование сканера уязвимостей — это простой, но важный метод обеспечения безопасности, от которого может выиграть каждая организация. Это сканирование может дать организации представление о том, с какими угрозами безопасности она может столкнуться, давая представление о потенциальных слабостях безопасности, присутствующих в их среде.

Многие организации используют несколько сканеров уязвимостей, чтобы обеспечить полное покрытие каждого актива, создавая полную картину. За прошедшие годы было разработано множество различных сканеров, предлагающих множество различных опций и функций.Так как же узнать, какие выбрать? Если вы ищете сканеры уязвимостей для своей ИТ-инфраструктуры, вот список из тех, которые отдают предпочтение экспертам Core Security в алфавитном порядке:

1. Acunetix

Acunetix — это веб-сканер уязвимостей, который включает передовую технологию сканирования для поиска уязвимостей для поиска всех типов веб-страниц, даже тех, которые защищены паролем.

2. Burp Suite

Burp Suite — это часто обновляемый веб-сканер уязвимостей, который интегрируется с системами отслеживания ошибок, такими как Jira, для простого создания заявок.

3. GFI Languard

GFI Languard — это сканер уязвимостей сети и веб-приложений, который может автоматически развертывать исправления в нескольких операционных системах, сторонних приложениях и веб-браузерах.

4. Линия фронта

Frontline VM — это запатентованный сканер сетевых уязвимостей, который является частью Frontline.Cloud, облачной платформы безопасности SaaS от Digital Defense. Эта платформа безопасности также предлагает сканирование веб-приложений, а также другие технологии управления уязвимостями и оценки угроз.

5. Nessus

Nessus — один из самых популярных сканеров уязвимостей, его скачали более двух миллионов раз по всему миру. Кроме того, Nessus обеспечивает всесторонний охват, сканируя более 59 000 CVE.

6. Nexpose

Nexpose от Rapid7 собирает данные в режиме реального времени, чтобы постоянно отслеживать изменения в сети организации. Поскольку шкала оценки риска CVSS составляет от 1 до 10, этот сканер уязвимостей разработал собственную шкалу оценки риска от 1 до 1000, чтобы предоставить больше нюансов.При этом учитываются такие факторы, как возраст уязвимости и общедоступные эксплойты / наборы вредоносных программ.

7. Nmap

Nmap — это бесплатный сканер безопасности с открытым исходным кодом, который также используется организациями для обнаружения сетей, инвентаризации, управления графиками обновления сервисов и мониторинга времени безотказной работы хоста или сервиса.

8. OpenVAS

OpenVAS — это сканер уязвимостей с открытым исходным кодом, поддерживаемый Greenbone Networks. Сканер также имеет регулярно обновляемую ленту сообщества, которая включает более 50 000 тестов на уязвимости.

9. Qualys Guard

Qualys Cloud Platform — это центр облачных приложений Qualys для ИТ, безопасности и соответствия нормативным требованиям. Он оснащен надежным сканером уязвимостей, который помогает централизовать управление уязвимостями.

10. Сканер веб-приложений Qualys

Qualys Web Application Scanner — это облачное приложение, которое находит как официальные, так и «неофициальные» приложения в среде, а также выявляет десять основных рисков OWASP, а также другие уязвимости веб-приложений.

11. SAINT

SAINT Security Suite — это комплексный сканер, который идентифицирует все критические активы в среде, создает теги активов и отслеживает их, чтобы обеспечить более быстрое восстановление для активов с наивысшим приоритетом.

12. Tenable

Teneble.sc и Teneble.io обеспечивают оценку уязвимости сети и Интернета с помощью технологии Nessus. Они используют прогнозируемую приоритизацию, которая объединяет данные об уязвимостях, информацию об угрозах и науку о данных для создания подробной оценки риска.

13. Tripwire IP360

Tripwire IP360 — это масштабируемый сканер уязвимостей, который может сканировать все в среде организации, включая ранее необнаруженные активы, используя сканирование как без агентов, так и на основе агентов.

Интеграция сканера уязвимостей с Core Impact

Оценка уязвимости может быть значительно улучшена с помощью тестирования на проникновение. Сканеры могут обнаруживать тысячи уязвимостей, и многие отдают приоритет исправлению на основе рейтинга уязвимости CVSS.Однако эти оценки не учитывают особенности организации.

У уязвимости может быть только умеренная оценка риска, но если ее можно использовать в качестве точки поворота для обнаружения других уязвимостей или ресурсов, это может иметь серьезные последствия для организации. Таким образом, «умеренная» уязвимость может быть такой же, если не более опасной, чем уязвимость, оцененная как «серьезная». Тесты на проникновение добавляют жизненно важный контекст, видя, какие уязвимости действительно могут быть использованы для получения доступа в вашей среде.

Core Impact, комплексный инструмент Core Security для тестирования на проникновение, может импортировать данные со всех сканеров, упомянутых выше. После импорта Core Impact может запустить тест на проникновение, чтобы узнать, можно ли успешно использовать любую из этих уязвимостей. Подтвердив эти уязвимости, вы узнаете истинный риск, который они представляют, и сможете определить приоритеты, какие меры по исправлению необходимо предпринять.

14 лучших сканеров уязвимостей веб-приложений с открытым исходным кодом [обновлено на 2020 год]

В прошлом многие популярные веб-сайты были взломаны.Хакеры активны и всегда пытаются взломать веб-сайты и утечь данные. Вот почему очень важно тестирование безопасности веб-приложений. И здесь в игру вступают сканеры безопасности веб-приложений.

Сканер безопасности веб-приложений — это программа, которая выполняет автоматическое тестирование веб-приложения с помощью черного ящика и выявляет уязвимости безопасности. Сканеры не имеют доступа к исходному коду; они проводят только функциональное тестирование и пытаются найти уязвимости в системе безопасности.Доступны различные платные и бесплатные сканеры уязвимостей веб-приложений.

В этом посте мы перечисляем лучшие бесплатные сканеры уязвимостей веб-приложений с открытым исходным кодом. Я добавляю инструменты в случайном порядке, поэтому не думайте, что это ранжирование инструментов.

Я добавляю только инструменты с открытым исходным кодом, которые можно использовать для поиска уязвимостей в веб-приложениях. Я не добавляю инструменты для поиска уязвимостей серверов. И не путайте бесплатные инструменты и инструменты с открытым исходным кодом! Есть различные другие инструменты, доступные бесплатно, но они не предоставляют исходный код другим разработчикам.Инструменты с открытым исходным кодом — это те, которые предлагают разработчикам исходные коды, чтобы разработчики могли изменить инструмент или помочь в дальнейшей разработке.

Это лучшие инструменты для тестирования на проникновение веб-приложений с открытым исходным кодом.

1. Захват

Grabber — это сканер веб-приложений, который может обнаруживать множество уязвимостей в веб-приложениях. Он выполняет сканирование и сообщает, где существует уязвимость. Он может обнаруживать следующие уязвимости:

• Межсайтовый скриптинг
• SQL-инъекция
• Тестирование Ajax
• Включение файла
• Анализатор исходного кода JS
• Проверка файла резервной копии

Это не так быстро по сравнению с другими сканерами безопасности, но оно простое и портативное.Его следует использовать только для тестирования небольших веб-приложений, поскольку сканирование больших приложений занимает слишком много времени.

Этот инструмент не имеет графического интерфейса пользователя. Он также не может создавать отчеты в формате PDF. Этот инструмент был разработан как простой и предназначенный для личного использования. Если вы думаете об этом для профессионального использования, я не буду рекомендовать его.

Этот инструмент был разработан на Python, и при желании также доступна исполняемая версия. Исходный код доступен, поэтому вы можете изменить его в соответствии с вашими потребностями.Главный скрипт — grabber.py, который после выполнения вызывает другие модули, такие как sql.py, xss.py или другие.

Загрузите его здесь.

Исходный код на GitHub.

2. Вега

Vega — еще один бесплатный веб-сканер уязвимостей и платформа для тестирования с открытым исходным кодом. С помощью этого инструмента вы можете выполнять тестирование безопасности веб-приложения. Этот инструмент написан на Java и предлагает среду на основе графического интерфейса. Он доступен для OS X, Linux и Windows.

Его можно использовать для поиска SQL-инъекций, инъекций заголовков, списка каталогов, инъекций оболочки, межсайтовых сценариев, включения файлов и других уязвимостей веб-приложений.Этот инструмент также можно расширить с помощью мощного API, написанного на JavaScript.

При работе с инструментом он позволяет вам установить несколько предпочтений, таких как общее количество потомков путей, количество дочерних путей узла, а также глубину и максимальное количество запросов в секунду. Вы можете использовать Vega Scanner, Vega Proxy и Proxy Scanner, а также сканировать с учетными данными. Если вам нужна помощь, вы можете найти ресурсы в разделе документации:

Документация находится здесь.

Скачайте Vega здесь.

3. Прокси атаки Zed

Zed Attack Proxy также известен как ZAP. Этот инструмент с открытым исходным кодом разработан OWASP. Он доступен для платформ Windows, Unix / Linux и Macintosh.

Мне лично нравится этот инструмент. Его можно использовать для поиска широкого спектра уязвимостей в веб-приложениях. Инструмент очень прост и удобен в использовании. Даже если вы новичок в тестировании на проникновение, вы можете легко использовать этот инструмент, чтобы начать изучение тестирования веб-приложений на проникновение.

Это основные функции ZAP:

• Перехватывающий прокси
• Автоматический сканер
• Традиционные, но мощные пауки
• Fuzzer
• Поддержка веб-сокетов
• Поддержка Plug-n-hack
• Поддержка аутентификации
• API на основе REST
• Динамические SSL-сертификаты
• Поддержка цифровых сертификатов смарт-карт и клиентов

Вы можете использовать этот инструмент в качестве сканера, введя URL-адрес для выполнения сканирования, или вы можете использовать этот инструмент в качестве прокси-сервера перехвата для ручного выполнения тестов на определенных страницах.

Загрузите ZAP здесь.

4. Wapiti

Wapiti — это сканер веб-уязвимостей, который позволяет вам проверять безопасность ваших веб-приложений. Он выполняет тестирование «черного ящика», сканируя веб-страницы и вводя данные. Он пытается внедрить полезные данные и посмотреть, уязвим ли сценарий. Он поддерживает атаки GET и POSTHTTP и обнаруживает множество уязвимостей.

Он может обнаруживать следующие уязвимости:

• Раскрытие файла
• Включение файла
• Межсайтовый скриптинг (XSS)
• Обнаружение выполнения команды
• CRLF впрыск
• SEL впрыск и XPath инъекция
• Слабый.Конфигурация htaccess
• Раскрытие резервного файла
• Многие другие

Wapiti — это приложение командной строки, поэтому для новичков это может быть непросто. Но для экспертов это подойдет. Чтобы использовать этот инструмент, вам нужно выучить множество команд, которые можно найти в официальной документации.

Загрузите Wapiti с исходным кодом здесь.

5. W3af

W3af — популярный фреймворк для атаки и аудита веб-приложений. Эта структура призвана предоставить лучшую платформу для тестирования веб-приложений на проникновение.Он был разработан с использованием Python. Используя этот инструмент, вы сможете определить более 200 видов уязвимостей веб-приложений, включая SQL-инъекции, межсайтовые сценарии и многие другие.

Поставляется с графическим и консольным интерфейсом. Вы можете легко использовать его благодаря простому интерфейсу.

Если вы используете его с графическим интерфейсом, я не думаю, что вы столкнетесь с какими-либо проблемами с этим инструментом. Вам нужно только выбрать параметры и затем запустить сканер.Если веб-сайту требуется аутентификация, вы также можете использовать модули аутентификации для сканирования страниц, защищенных сеансом.

Мы уже подробно рассматривали этот инструмент в нашей предыдущей серии пошаговых руководств по W3af. Вы можете прочитать эти статьи, чтобы узнать больше об этом инструменте.

Вы можете получить доступ к исходному коду в репозитории GitHub здесь.

Загрузите его с официального сайта здесь.

6. WebScarab

WebScarab — это среда безопасности на основе Java для анализа веб-приложений, использующих протокол HTTP или HTTPS.С помощью доступных плагинов вы можете расширить функциональность инструмента.

Этот инструмент работает как перехватывающий прокси; вы можете просматривать запросы и ответы, поступающие в ваш браузер и идущие на сервер. Вы также можете изменить запрос или ответ до того, как они будут получены сервером или браузером.

Если вы новичок, этот инструмент не для вас. Этот инструмент был разработан для тех, кто хорошо разбирается в протоколе HTTP и умеет писать коды.

WebScarab предоставляет множество функций, которые помогают тестерам на проникновение тесно работать с веб-приложением и находить уязвимости в системе безопасности.У него есть паук, который может автоматически находить новые URL-адреса целевого веб-сайта. Он может легко извлекать скрипты и HTML-код страницы. Прокси-сервер наблюдает за трафиком между сервером и вашим браузером, и вы можете управлять запросом и ответом, используя доступные плагины. Доступные модули могут легко обнаруживать наиболее распространенные уязвимости, такие как SQL-инъекция, XSS, CRLF и многие другие уязвимости.

Исходный код инструмента доступен на GitHub здесь.

Загрузите WebScarab здесь.

7. Skipfish

Skipfish — еще один хороший инструмент безопасности веб-приложений. Он сканирует веб-сайт, а затем проверяет каждую страницу на наличие различных угроз безопасности. В конце он готовит итоговый отчет.

Этот инструмент был написан на C. Он оптимизирован для обработки HTTP и использует минимум ЦП. Он утверждает, что может легко обрабатывать 2000 запросов в секунду без увеличения нагрузки на ЦП. Он использует эвристический подход при сканировании и тестировании веб-страниц и утверждает, что предлагает высокое качество и меньшее количество ложных срабатываний.

Этот инструмент доступен для Linux, FreeBSD, MacOS X и Windows.

Загрузите Skipfish или код из Google Codes здесь.

8. Ratproxy

Ratproxy — это инструмент аудита безопасности веб-приложений с открытым исходным кодом, который можно использовать для поиска уязвимостей в веб-приложениях. Он поддерживает среды Linux, FreeBSD, MacOS X и Windows (Cygwin).

Этот инструмент разработан для решения проблем, с которыми обычно сталкиваются пользователи при использовании других инструментов прокси для аудита безопасности.Он способен различать таблицы стилей CSS и коды JavaScript. Он также поддерживает атаку SSL «человек посередине», что означает, что вы также можете видеть данные, проходящие через SSL.

Подробнее об этом инструменте можно прочитать здесь.

Загрузите его здесь.

9. SQLMap

SQLMap — еще один популярный инструмент для тестирования на проникновение с открытым исходным кодом. Он автоматизирует процесс поиска и использования уязвимостей SQL-инъекций в базе данных веб-сайта. Он имеет мощный механизм обнаружения и множество полезных функций.Таким образом, тестер на проникновение может легко выполнить проверку SQL-инъекции на веб-сайте.

Он поддерживает ряд серверов баз данных, включая MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM DB2, SQLite, Firebird, Sybase и SAP MaxDB. Он предлагает полную поддержку шести видов методов SQL-инъекций: слепой на основе времени, слепой на основе логических значений, на основе ошибок, запрос UNION, составные запросы и внеполосный.

Получите доступ к исходному коду на GitHub здесь.

Загрузите SQLMap здесь.

10. Wfuzz

Wfuzz — еще один свободно доступный инструмент с открытым исходным кодом для тестирования веб-приложений на проникновение. Его можно использовать для подбора параметров GET и POST для тестирования различных видов инъекций, таких как SQL, XSS, LDAP и многих других. Он также поддерживает фаззинг файлов cookie, многопоточность, SOCK, прокси, аутентификацию, брут-форс параметров, несколько прокси и многое другое.

Этот инструмент не предлагает графический интерфейс, поэтому вам придется работать с интерфейсом командной строки.

Подробнее о возможностях инструмента можно прочитать здесь.

Загрузите Wfuzz с code.google.com здесь.

11. Grendel-Scan

Grendel-Scan — еще один хороший инструмент безопасности веб-приложений с открытым исходным кодом. Это автоматический инструмент для поиска уязвимостей в веб-приложениях. Многие функции также доступны для ручного тестирования на проникновение. Этот инструмент доступен для Windows, Linux и Macintosh и был разработан на Java.

Загрузите инструмент и исходный код здесь.

12. Наблюдатель

Watcher — это пассивный сканер веб-безопасности. Он не атакует множеством запросов и не сканирует целевой веб-сайт. Это не отдельный инструмент, а надстройка Fiddler, поэтому вам нужно сначала установить Fiddler, а затем установить Watcher, чтобы использовать его.

Он незаметно анализирует запросы и ответы от взаимодействия с пользователем, а затем составляет отчет по приложению. Поскольку это пассивный сканер, он не повлияет на хостинг веб-сайта или облачную инфраструктуру.

Загрузите Watcher и его исходный код здесь.

13. X5S

X5S также является надстройкой Fiddler, предназначенной для поиска уязвимостей межсайтового скриптинга. Это не автоматический инструмент, поэтому вам нужно понять, как проблемы с кодированием могут привести к XSS, прежде чем использовать его. Вам нужно вручную найти точку инъекции, а затем проверить, где в приложении может находиться XSS.

Мы рассмотрели X5S в предыдущем посте. Вы можете обратиться к этой статье, чтобы узнать больше о X5S и XSS.

Загрузите X5S и исходный код с Codeplex здесь.

Вы также можете обратиться к этому официальному руководству, чтобы узнать, как использовать X5S.

14. Арахни

Arachni — это инструмент с открытым исходным кодом, разработанный для обеспечения среды тестирования на проникновение. Этот инструмент может обнаруживать различные уязвимости безопасности веб-приложений. Он может обнаруживать различные уязвимости, такие как внедрение SQL, XSS, включение локального файла, включение удаленного файла, непроверенное перенаправление и многие другие.

Загрузите этот инструмент здесь.

Заключительное слово

Это лучшие инструменты для тестирования безопасности веб-приложений с открытым исходным кодом. Я изо всех сил старался перечислить все инструменты, доступные в Интернете. Если инструмент не обновлялся много лет, я не упоминал об этом здесь; это потому, что если инструменту более 10 лет, это может создать проблемы совместимости в недавней среде.

Если вы разработчик, вы также можете присоединиться к сообществу разработчиков этих инструментов и помочь им расти. Помогая этим инструментам, вы также расширите свои знания и опыт.

Если вы хотите начать тестирование на проникновение, я рекомендую использовать дистрибутивы Linux, созданные для тестирования на проникновение. Эти среды — Backtrack, Gnacktrack, Backbox и BlackBuntu. Все эти инструменты поставляются с различными бесплатными инструментами с открытым исходным кодом для тестирования на проникновение веб-сайтов.

Если вы думаете, что я забыл упомянуть важный инструмент, вы можете оставить комментарий, и я постараюсь добавить его.

Прочитайте больше статей об инструментах для тестирования на проникновение:

Методология тестирования мобильных приложений на проникновение: 5 ключевых шагов

20 лучших инструментов для тестирования на проникновение, часть 2

.