Skipfish | Сканер безопасности веб-приложений

Skipfish

Skipfish – активный инструмент тестирования безопасности веб-приложений.

Он готовит интерактивную карту для целевого сайта, проводя рекурсивное сканирование.

Полученная карта затем аннотируется с результатом ряда активных проверок безопасности.

Окончательный отчет, созданный инструментом, призван служить основой для профессиональных оценок безопасности веб-приложений.

Главная особенность

500+ против интернет-целей, 2000+ запросов в секунду в сетях LAN / MAN и 7000+ запросов против локальных экземпляров.
Автоматическое построение списка слов на основе анализа содержимого сайта.
Эвристическое распознавание нечетких путей и схем обработки параметров, основанных на запросах.
Подписи контента стиля Snort, которые будут отображать ошибки сервера, утечки информации или потенциально опасных веб-приложений.
Связанные проверки безопасности предназначены для обработки сложных сценариев: Безопасный XSS (путь, параметры, заголовки), слепые SQL или XML-инъекции или вставка скрытой оболочки.

Как установить Skipfish

В Kali Linux skipfish уже предустановлен

В Ubuntu / Debian вы можете выполнить установку из репозитория:

 # apt-get install skipfish 

Запуск этого сканера безопасности веб-приложений

Шаг 1: Чтобы получить все параметры впишите skipfish -h

 # skipfish -h

Шаг 2: Сканирование цели и запись вывода в каталог.

 # skipfish -d -o 202 http://192.168.169.130/ 

Он будет проверять каждый запрос, внешние / внутренние ссылки и статистику.

После завершения сканирования будет создана профессиональная оценка безопасности веб-приложений.

Для сканирования подстановочных доменов

 # skipfish -D .192.168.169.130 -o output-dir1 http://192.168.169.130/ 

Вам нужно настроить свои HTTP-запросы при сканировании больших сайтов.

-H Вставить любые дополнительные, нестандартные заголовки.
-F Определение пользовательского сопоставления между хостом и IP-адресом.
-d Ограничивает глубину сканирования до указанного количества подкаталогов.
-c Ограничивает количество childs в каталоге.
-x Ограничивает общее число потомков на ветку дерева обхода.
-r Ограничивает общее количество запросов на отправку при сканировании.

Необходимо указать -e, чтобы избежать двоичных ответов для отчетности.