• Курсы Академии Кодебай, стартующие в мае - июне, от команды The Codeby

    1. Цифровая криминалистика и реагирование на инциденты
    2. ОС Linux (DFIR) Старт: 16 мая
    3. Анализ фишинговых атак Старт: 16 мая Устройства для тестирования на проникновение Старт: 16 мая

    Скидки до 10%

    Полный список ближайших курсов ...

Soft Реальная эффективность веб сканеров

Добрый день.

Неоднократно читал различные рекомендации по использованию веб сканеров. На самом деле, этот вид софта - вещь достаточно нужная, особенно при оценке уязвимостей сдаваемого Интернет-портала или большого веб приложения. Никакой пентестер не пройдет вручную 1000 (а иногда больше) страниц. Тут уже нужна автоматизация. Что выбрать? На вкус и цвет товарищей нет, но попробуем разобраться. В свое время очень любил пользоваться OWASP ZAP. Очень хороший сканер.

Но однажды он немножко себя не оправдал, и я решил все-таки разобраться - насколько эффективны веб сканеры насколько им можно доверять?
Тестировать эффективность необходимо на заведомо уязвимых сайтах и приложениях, максимально не связанных с производителями. В качестве первого теста я выбрал bWAPP. Из сканеров выбрал Acunetix 11 (лицензионный), IWS (лицензионный), OWASP ZAP (Kali Linux 2020.4), wapity (Kali Linux 2020.4), Vega 1.0 (win64).

Подробное описание настроек и сам процесс сканирования вы можете увидеть на Яндекс.Эфире по ссылке .

Остановлюсь на результатах.

1.png

Как видим, средняя эффективность веб сканеров из состава Kali Linux достаточно низкая. Во всяком случае 16% от OWASP ZAP я не ожидал.

Графически результаты выглядят так:

2.png 3.png

4.png 5.png

6.png 7.png

Результаты Vega требуют полной перепроверки (особенно по SQL инъекциям - на 11 верных срабатываний пришлось 36 ложных, а в протоколе приводится только запрос). ZAP и wapity показали 16% и 28% соответственно.
Самые лучшие результаты у всех сканеров были по обнаружению XSS.
Естественно, на одном веб приложении сравнивать сканеры некорректно, поэтому, если тема вас заинтересовала, мы продолжим тестировать сканеры на других уязвимых виртуальных машинах.
Не могу быть истиной в последней инстанции, поэтому пишите комментарии, делитесь мнением.
 
Последнее редактирование модератором:

Olga Vendor

New member
18.08.2022
1
0
BIT
0
и в общем про информационную безопасность
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!