РАЗБОР
AppSec
Статья
Реальная эффективность веб сканеров. Часть 2.
[ обложка статьи ]
Режим чтения
Прежде чем перейти к цифрам, стоит сказать пару слов о том, почему подобные сравнения сканеров вообще стоит воспринимать с осторожностью. Любой бенчмарк эффективности сильно зависит от тестовой выборки: набор уязвимых страниц, их типов и сложности реализации на конкретном учебном приложении может отличаться от того, что встретится в реальном проекте. Поэтому результаты ниже — не абсолютная истина о том, «какой сканер лучше», а скорее ориентир, показывающий сильные и слабые стороны каждого инструмента на конкретных тестовых стендах. С этой оговоркой перейдём к методике и результатам.
Добрый день!
В первой части статьи "Реальная эффективность веб сканеров" я описывал сравнение нескольких профессиональных веб сканеров (Acunetix 11, IWS, OWASP ZAP, Wapity) на приложении bWAPP. Из списка я убрал Vega - слишком много ложных срабатываний, практическое использование невозможно, да и прекращает работу после того, как наберет 1 Гб оперативки - у него весь протокол сначала сохраняется в оперативке. Пытался использовать Burp Suite в автоматизированном режиме - но он за один рабочий день сделал только 15% от bWAPP, на ночь я его оставлять не стал. Позднее я смог проверить сканеры еще на нескольких уязвимых приложениях. Привожу результаты сравнения для bWAPP, WAVSEP и MUTILLIDAE II. Почему я использовал именно эти машины - во первых достаточно большое количество уязвимых страниц (допустим у OWASP BRIKS всего 16 страниц а у WAVSEP - более 1000, bWAPP - более 100, MUTILLIDAE II - около 100), во -вторых в этих машинах имеются реальные уязвимости а не их имитация, как допустим в Web For Pentester, ну и в третьих - они относятся к наиболее популярным как учебно-наглядное пособие.
Изменил порядок расчета процента обнаруженных уязвимостей. Если в первой статье я брал за основу название файла и то, какая уязвимость по мнению разработчика на данной странице реализована, то теперь за 100% берутся уязвимые страницы, обнаруженные каким-либо сканером без ложного срабатывания. Например первый сканер обнаружил SQL инъекцию на страницах sqli1.php и sqli2.php. а второй на страницах sqli2.php, sqli3.php, sqli4.php. Тогда все сканеры обнаружили 4 страницы (sqli1.php,sqli2.php, sqli3.php, sqli4.php), следовательно первый сканер обнаружил 50% (2 страницы), а второй 75% (3 страницы). К сожалению другой вариант расчетов на нескольких уязвимых сайтах не применим. Ну и на вопрос какой сканер лучше скажу - нужно использовать все поочередно. Иногда бывает, что самый слабый сканер находит уязвимость, которую не смог найти самый крутой. Итак, перейдем к результатам:
Добрый день!
В первой части статьи "Реальная эффективность веб сканеров" я описывал сравнение нескольких профессиональных веб сканеров (Acunetix 11, IWS, OWASP ZAP, Wapity) на приложении bWAPP. Из списка я убрал Vega - слишком много ложных срабатываний, практическое использование невозможно, да и прекращает работу после того, как наберет 1 Гб оперативки - у него весь протокол сначала сохраняется в оперативке. Пытался использовать Burp Suite в автоматизированном режиме - но он за один рабочий день сделал только 15% от bWAPP, на ночь я его оставлять не стал. Позднее я смог проверить сканеры еще на нескольких уязвимых приложениях. Привожу результаты сравнения для bWAPP, WAVSEP и MUTILLIDAE II. Почему я использовал именно эти машины - во первых достаточно большое количество уязвимых страниц (допустим у OWASP BRIKS всего 16 страниц а у WAVSEP - более 1000, bWAPP - более 100, MUTILLIDAE II - около 100), во -вторых в этих машинах имеются реальные уязвимости а не их имитация, как допустим в Web For Pentester, ну и в третьих - они относятся к наиболее популярным как учебно-наглядное пособие.
Изменил порядок расчета процента обнаруженных уязвимостей. Если в первой статье я брал за основу название файла и то, какая уязвимость по мнению разработчика на данной странице реализована, то теперь за 100% берутся уязвимые страницы, обнаруженные каким-либо сканером без ложного срабатывания. Например первый сканер обнаружил SQL инъекцию на страницах sqli1.php и sqli2.php. а второй на страницах sqli2.php, sqli3.php, sqli4.php. Тогда все сканеры обнаружили 4 страницы (sqli1.php,sqli2.php, sqli3.php, sqli4.php), следовательно первый сканер обнаружил 50% (2 страницы), а второй 75% (3 страницы). К сожалению другой вариант расчетов на нескольких уязвимых сайтах не применим. Ну и на вопрос какой сканер лучше скажу - нужно использовать все поочередно. Иногда бывает, что самый слабый сканер находит уязвимость, которую не смог найти самый крутой. Итак, перейдем к результатам:
AI-выжимка
сгенерировано ИИ
Тезисы статьи скоро
Статья читается полностью. Тезисы со ссылками на разделы появятся позже.
Содержание
Codeby Academy
Практика и мастерство
От основ до продвинутого — программы для практиков Codeby.
Перейти к курсу →
Продолжить чтение
Следующий разбор
Обход ACL через парсинг URL на реверс-прокси
Комментарии
2