10 Open Source Web Security Scanner pour trouver des vulnérabilités

En tant que propriétaire d'une application Web, comment vous assurez-vous que votre site est protégé contre les menaces en ligne? Ne divulgue pas d'informations sensibles?

Un rapport intéressant de Symantec révèle que 1 site Web sur 10 contient un ou plusieurs codes malveillants.

Et, si vous utilisez WordPress, un autre rapport de SUCURI spectacles 49.8 % des sites Web numérisés étaient obsolètes.

Si vous utilisez un solution de sécurité basée sur le cloud, alors très probablement, une analyse régulière des vulnérabilités fait partie du plan. Cependant, sinon, vous devez effectuer une analyse de routine et prendre les mesures nécessaires pour atténuer les risques.

Il existe deux types de scanneurs.

Commercial - vous donne la possibilité d'automatiser l'analyse pour une sécurité continue, des rapports, des alertes, des instructions d'atténuation détaillées, etc. Certains des noms connus dans l'industrie sont :

• Acunetix
• Detectify
• Qualys

Open Source / Gratuit - vous pouvez télécharger et effectuer une analyse de sécurité à la demande. Tous ne pourront pas couvrir un large éventail de vulnérabilités comme une vulnérabilité commerciale.

Examinons le scanner de vulnérabilité Web open source suivant.

dirsearch

»recherche dir' est un répertoire Web populaire et un outil d'énumération de fichiers utilisé pour découvrir des répertoires et des fichiers cachés sur un serveur Web.

Il s'agit d'un outil de ligne de commande écrit en Python et souvent utilisé par les testeurs d'intrusion pour identifier les erreurs de configuration et les fichiers sensibles qui ne devraient pas être accessibles au public.

Fonctionnalités

• Annuaire Brute-Forcing
• Listes de mots personnalisées
• Prise en charge des méthodes HTTP
• Détection d'extension (peut rechercher des fichiers avec des extensions spécifiques telles que .php, .txt, .html, etc.)
• Demandes simultanées pour accélérer le processus de dénombrement.
• Filtrage des correspondances positives/négatives
• utilise le mode récursif pour rechercher des fichiers.

Cela fonctionne en envoyant une série de requêtes HTTP au serveur Web cible, puis en essayant d'accéder à une liste prédéfinie de répertoires communs.

Si un fichier est trouvé, dirsearch le signalera, ce qui indique que le fichier peut être accessible au public.

reNgine

reNginer est un outil avancé de reconnaissance d'applications Web conçu pour aider les testeurs d'intrusion à identifier les vulnérabilités potentielles et la surface d'attaque des applications Web.

Il offre une capacité d'analyse hautement personnalisable et puissante grâce à ses moteurs, ce qui permet aux utilisateurs de configurer et d'affiner le processus d'analyse en fonction de leurs besoins.

Fonctionnalités

• Moteurs d'analyse hautement configurables
• Corrélation des données de reconnaissance
• Surveillance continue pour s'assurer que la posture de sécurité de l'application reste à jour.
• Données de reconnaissance basées sur une base de données pour accéder et analyser les résultats quand l'utilisateur le souhaite.
• Interface utilisateur simple

De plus, la fonction Sub-Scan & Deeper Correlation permet aux utilisateurs d'analyser séparément des parties spécifiques de l'application ou des composants individuels.

w3af

w3af (Web Application Attack & Audit Framework), un projet open source, a démarré fin 2006. w3af est écrit en Python et permet aux utilisateurs de découvrir et d'exploiter divers problèmes de sécurité, y compris les OWASP.

L'objectif principal de w3af est d'aider les testeurs de sécurité et les développeurs à renforcer la sécurité des applications Web.

Et voici un liste des vulnérabilités que w3af peut analyser.

Fonctionnalités

• Les utilisateurs peuvent créer des plugins et des scripts en fonction de leurs besoins spécifiques.
• Il peut également fonctionner en mode proxy HTTP qui permet aux utilisateurs d'intercepter et de modifier les transactions HTTP.
• Générez des rapports détaillés sur les vulnérabilités identifiées et les mesures prises au cours du processus de test.

Il est construit sur une architecture de plugin, et vous pouvez consulter tous les plugins disponible ici.

Nikto

Personne est un scanner open source (GPL) conçu pour effectuer des tests complets sur les serveurs Web afin d'identifier les vulnérabilités de sécurité et les problèmes de configuration.

Nikto identifie les serveurs Web et les logiciels exécutés sur le serveur cible, ce qui permet aux administrateurs de mieux comprendre la configuration de leur système.

Fonctionnalités

• Prise en charge du proxy SSL et HTTP complet.
• Rapports personnalisables à l'aide d'un moteur de modèle.
• Possibilité de scanner plusieurs ports sur un serveur ou plusieurs serveurs via un fichier d'entrée
• Scan tuning pour inclure ou exclure des classes entières de vérifications de vulnérabilité.
• Réduction améliorée des faux positifs à l'aide de diverses méthodes telles que les en-têtes, le contenu de la page et le hachage de contenu.
• Authentification de l'hôte avec les méthodes de base et NTLM.

Nikto n'est pas conçu pour être un outil furtif, car il vise à tester les serveurs Web le plus rapidement possible. Ses activités sont souvent visibles dans les fichiers journaux ou dans les systèmes IPS/IDS. Mais il prend en charge les méthodes anti-IDS de LibWhisker, qui peuvent aider les utilisateurs à tester leurs systèmes IDS ou à tenter d'échapper à la détection dans des scénarios spécifiques.

Et voici un article sur comment utiliser le scanner Nikto pour trouver les vulnérabilités du serveur Web. N'hésitez pas à visiter cette page.

Wfuzz

wfuzz (Web Fuzzer) est un outil d'évaluation des candidatures pour tests de pénétration. Vous pouvez fuzzer les données dans la requête HTTP pour n'importe quel champ afin d'exploiter et d'auditer les applications Web.

Il soutient également attaques par force brute en permettant aux utilisateurs de tester plusieurs valeurs pour des paramètres spécifiques. Cela peut être particulièrement utile pour découvrir des informations d'identification faibles ou des informations sensibles qui pourraient être exposées via des configurations incorrectes.

Fonctionnalités

• Personnalisation de la charge utile et capacités de fuzzing qui fuzz différentes parties des requêtes HTTP, y compris les paramètres, les en-têtes et les cookies, pour identifier les faiblesses de la validation des entrées.
• Wfuzz est construit comme un framework modulaire. Il sera donc facile pour les développeurs de créer et d'intégrer des plugins personnalisés.
• En-tête HTTP et test d'authentification
• Wfuzz peut être intégré à d'autres outils de sécurité, tels que Burp Suite. Il permet aux utilisateurs d'utiliser les requêtes et réponses HTTP précédentes d'autres outils.

Il peut également effectuer un fuzzing de répertoires et de fichiers pour identifier les fichiers sensibles et d'autres ressources sur le serveur Web.

OWASP ZAP

OWASP ZAP (Zed Attack Proxy) est un scanner de sécurité d'applications Web open source populaire et un outil de test de pénétration. Son utilisation est gratuite et activement maintenue par la communauté OWASP, ce qui en fait un choix fiable pour sécuriser les applications Web.

C'est un outil multiplateforme basé sur Java qui peut fonctionner même sur Raspberry Pi. ZAP se situe entre un navigateur et une application Web pour intercepter et inspecter les messages.

Fonctionnalités

• ZAP dispose d'une fonctionnalité de spidering qui permet d'identifier et de cartographier tous les points de terminaison accessibles dans l'application Web cible.
• Numérisation automatisée
• Il prend en charge les tests manuels en fournissant un proxy interactif. Les utilisateurs peuvent intercepter et modifier les requêtes entre le client et le serveur.
• ZAP prend en charge des plugins plus flous pour tester diverses entrées de l'application cible afin de découvrir les vulnérabilités potentielles.

Et il peut également être intégré dans le processus de développement et de test via son API. Nous vous recommandons fortement de vérifier Vidéos du didacticiel OWASP ZAP pour commencer.

Wapiti

Wapiti est un autre puissant scanner de vulnérabilité des applications Web pour évaluer la sécurité de leurs sites Web.

Il fonctionne comme un scanner "boîte noire" - ce qui signifie qu'il n'a pas besoin d'accéder au code source de l'application. Au lieu de cela, il analyse l'application Web déployée en parcourant ses pages Web et en recherchant les vulnérabilités potentielles.

Fonctionnalités

• La couverture des vulnérabilités inclut la détection de divulgation de fichiers, l'injection XXE (XML eXternal Entity), l'injection CRLF, les redirections ouvertes, etc.
• Méthodes HTTP et injection de charge utile
• Prend en charge les proxies HTTP/HTTPS/SOCKS5 et permet l'authentification via Basic, Digest, NTLM ou GET/POST sur les formulaires de connexion.
• Les utilisateurs peuvent activer ou désactiver certificat SSL vérification lors de l'analyse.
• Importe les cookies des navigateurs Chrome ou Firefox et prend en charge le proxy MITM pour explorer la cible à l'aide du navigateur de l'utilisateur.

Wapiti propose plusieurs options pour contrôler le comportement du crawler, telles que le saut de noms de paramètres spécifiques lors de l'attaque, la définition d'une durée maximale pour le processus d'analyse, l'ajout d'en-têtes HTTP personnalisés, etc.

Vega

Vega est développé par Subgraph - un outil multi-plateforme écrit en Java pour trouver XSS, SQLi, RFI et de nombreuses autres vulnérabilités. Le scanner automatisé intégré est conçu pour des tests de sécurité rapides et efficaces.

Il peut parcourir les applications Web, rechercher diverses vulnérabilités et signaler les résultats à l'utilisateur.

Fonctionnalités

• La fonction Intercepting Proxy peut effectuer une interception SSL pour les sites Web HTTP et analyser le trafic crypté.
• Multi-plateforme de soutien
• Le proxy peut être configuré pour exécuter des modules d'attaque pendant que l'utilisateur navigue sur le site cible.

Si vous êtes développeur, vous pouvez tirer parti de l'API Vega pour créer de nouveaux modules d'attaque.

SQLmap

SQLmap est un outil de test d'intrusion open source qui automatise le processus de détection et d'exploitation des vulnérabilités d'injection SQL dans les applications Web.

Cet outil évalue les réponses de l'application et les requêtes construites afin de trouver des points d'injection potentiels.

Fonctionnalités

• Prise en charge de SGBD, y compris MySQL, Oracle, PostgreSQL, SQLite et bien d'autres.
• Énumération des informations de la base de données
• Prend en charge divers Injection SQL des techniques telles que l'aveugle booléen, l'aveugle basé sur le temps, l'erreur basée sur l'erreur et la requête UNION.
• Connexion directe à la base de données
• Craquage de hachage de mot de passe
• Vidage des données
• Exécution de commande arbitraire sur un système d'exploitation sous-jacent pour les systèmes pris en charge.

Il peut également extraire des informations sur le SGBD utilisé, telles que son type, sa version et ses détails de configuration. Cela aide les testeurs à comprendre l'environnement auquel ils sont confrontés.

Grabber

Grabber est un scanner simple et portable conçu pour détecter les vulnérabilités dans les petits sites Web tels que les rencontres et les forums, mais il n'est pas destiné aux grandes applications.

Fonctionnalités

• Analyseur de code source JavaScript
• Scripts intersites, injection SQL, injection SQL aveugle
• Test d'application PHP avec PHP-SAT

Grabber identifie uniquement les vulnérabilités et ne fournit pas de solutions. Après la détection, il génère un fichier avec l'ID de session et les horodatages pour une analyse statistique future.

Conclusion

La sécurité Web est essentielle pour toute entreprise en ligne, et j'espère que le scanner de vulnérabilité gratuit / open source répertorié ci-dessus vous aidera à trouver les risques afin que vous puissiez les atténuer avant que quelqu'un n'en profite. Si vous souhaitez en savoir plus sur les tests d'intrusion, consultez ceci Cours en ligne.

Vous pouvez également lire quelques-uns des meilleurs conseils à éviter vulnérabilités de sécurité Web courantes.