¿Hay alguna herramienta que recomiende para las pruebas de seguridad de las aplicaciones web?¿Qué herramientas usa para las pruebas de seguridad de aplicaciones web?
He usado WebScarab de OWASP, pero me parece un poco difícil y difícil de usar.
¿Hay alguna otra cosa mejor que sugiera usar?
En lugar de WebScarab, pruebe el proxy Fiddler (http://www.fiddlertool.com). Mucho más cómodo.
Aparte de eso, "pruebas de seguridad" es un término muy amplio.
Por lo menos, usted tiene: las pruebas
Fortify nos ha ido bien.
HP cuenta con una aplicación para la prueba de inyecciones SQL llamados Scrawlr.
me gustaría sugerir el uso de la inspección manual con herramientas de búsqueda simples cadena como findstr. Esto es un gran recurso de inspección de seguridad manual para asp.net: http://msdn.microsoft.com/en-us/library/ms998364.aspx O puede saltar directamente a las preguntas de seguridad que guían su camino para encontrar vulnerabilidades de seguridad: http://msdn.microsoft.com/en-us/library/ms998375.aspx Tengo un resumen de las técnicas de búsqueda de cadena aquí : http://blogs.msdn.com/ace_team/archive/2008/07/24/security-code-review-string-search-patterns-for-finding-vulnerabilities-in-asp-net-web-application.aspx
Trabajo para una empresa que hace pruebas de penetración de aplicaciones web como parte de su negocio. Usamos muchas herramientas diferentes. Algunas son herramientas únicas en Ruby para proyectos específicos, o en marcos desarrollados por la casa o proxies (nuevamente Ruby). La mayoría de las pruebas de penetración de nuestra aplicación web se realizan utilizando webscarab, burpsuite o paros proxy. Todos ellos tienen algún tipo de funcionalidad de registro, una cantidad decente de potencia y una desventaja o dos.
De hecho, he encontrado que webscarab es el más fácil de usar. Sin embargo, no maneja VIEWSTATE o hace mucho por buscar. De hecho, hemos encontrado datos en VIEWSTATE que no deberían estar allí, por lo que cada vez que los vemos, tendemos a cambiar a un proxy diferente. Burpsuite es mi próxima elección. Maneja VIEWSTATE pero la interfaz requiere mucho tiempo para acostumbrarse a ella y su salida, mientras que técnicamente es más completa (conserva las solicitudes/respuestas originales y modificadas) y es más difícil de usar.
Lamentablemente, la respuesta a su pregunta es un poco más complicada que solo un buen proxy. Hay mucho más que simplemente tomar un proxy o un escáner y dejarlos funcionar.Una persona tiene que verificar cualquier cosa que encuentre la herramienta y hay cosas que una persona encontrará.
tqbf tiene una buena explicación de esto here.
Yo uso Nikto.
nikto es un código abierto (GPL) escáner servidor web que realiza pruebas exhaustivas contra servidores web para varios elementos, incluyendo más de 3500 archivos potencialmente peligrosos/CGI, las versiones sobre más de 900 servidores y problemas específicos de versión en más de 250 servidores. Los elementos de escaneo y los complementos se actualizan con frecuencia y se pueden actualizar automáticamente (si se desea).
Nikto no está diseñado como una herramienta demasiado sigilosa. Probará un servidor web en el período de tiempo más corto posible, y es bastante obvio en los archivos de registro. Sin embargo, hay soporte para los métodos anti-IDS de LibWhisker en caso de que quiera probarlo (o probar su sistema IDS).
Este lista también podría ayudar: Top 10 Web Vulnerability Scanners
Estos son todos para aplicaciones web pruebas de lápiz
Puede utilizar Paros o Netsparker para las pruebas de seguridad. La siguiente URL puede ayudar a encontrar algunas herramientas de prueba de seguridad:
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/