|
|
Google Skipfish, nouveau scanner pour l'audit Web, hautes performances et faible taux de faux positifs
Par Xavier Poli,
secuobs.com
Le 21/03/2010
Résumé : Google, via Michal Zalewski, vient de publier Skipfish, un scanner Open Source destiné à auditer la sécurité des sites et des applications Web. Ses caractéristiques premières devraient être de hautes performances et un faible taux de faux positif dans les rapports d'audit. - Lire l'article
Par l'intermédiaire de Google, Michal Zalewski vient de publier un nouveau scanner Open Source destiné à aider les développeurs et les professionnels de la sécurité dans leurs tâches d'audit des sites et des applications Web. Développé entièrement en C et spécifiquement optimisé pour le protocole HTTP, Skipfish devrait avant tout se caractériser par ses hautes performances.
Ces dernières seraient de l'ordre des cinq cents requêtes seconde lors de l'audit d'un serveur Web réactif situé sur un réseau distant et proche des sept mille s'il est utilisé directement depuis la cible. Son utilisation ne nécessiterait néanmoins que peu de ressources grâce à un subtile mélange de technologies avancées (multiplexage, caching, compression, entêtes minimalistes, ...).
Sans pour autant perturber le trafic habituel du site ciblé grâce à son fonctionnement asynchrone, il serait capable de supporter l'audit d'un grand nombre de technologies Web plus ou moins standards, pouvant être mixées entre elles au sein d'une même cible. A noter également que Skipfish se démarque en abandonnant le modèle des bases de vulnérabilités et des rapports temps réel.
Le taux de faux positifs devrait ainsi en être réduit, ses résultats ne se basant par exemple ici pas sur une longue liste de vulnérabilités connues qui aurait été établie sur la seule identification d'une bannière applicative, éventuellement usurpée. Son modèle heuristique ( lien ), ainsi que ses capacités d'auto-apprentissage et d'extraction devraient également contribuer à la qualité des rapports.
Parmi les tests critiques (compromission du système), on notera les injections SQL ( lien ), de commandes Shell ( lien ) et XPATH ( lien ), ainsi que l'exploitation des vulnérabilités liées aux chaînes de format ( lien ) et aux dépassements d'entiers ( lien ). Les attaques XSS ( lien ), Directory Traversal ( lien ) et CSS ( lien ) sont quant à elles classées dans les impacts modérés (compromission de données).
Skipfish est compatible avec les systèmes d'exploitation GNU/Linux, FreeBSD et Mac OS X. Il peut également être utilisé avec les systèmes de type Microsoft Windows dès lors que ces derniers présentent un environnement Cygwin ( lien ) fonctionnel.
Télécharger Skipfish 1.06b ( lien )
Documentation ( lien )
Source : Threatpost ( lien )
- Article suivant : ThreatMetrix lutte contre les fraudes transactionnelles à l'aide de données anonymes
- Article précédent : VASTO une extension Metasploit dédiée à l'exploitation des infrastructures virtuelles
- Article suivant dans la catégorie Outils : Yataglass vise à contrer les codes malicieux utilisant des techniques avancées d'évasion
- Article précédent dans la catégorie Outils : VASTO une extension Metasploit dédiée à l'exploitation des infrastructures virtuelles
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, microsoft, attaque, réseau, metasploit, outil, vulnérabilité, audit, système, usbsploit, virus, internet, données, présentation, linux, bluetooth, protocol, source, scanner, vista, reverse, réseaux, shell, meterpreter, conférence, rootkit, engineering, téléphone, trames, paquet, wishmaster, noyau, sysun, mobile, libre, botnet, rapport, mémoire, intel, https, téléphones, snort, navigateur |
| Mini-Tagwall de l'annuaire video : | | | | security, biomet, biometric, metasploit, vmware, botnet, windows, virus, password, tutorial, attack, exploit, defcon, conference, lockpicking, crypt, network, rootkit, linux, conficker, source, server, iphone, shmoocon, wireshark, secconf, ettercap, engineering, backtrack, meterpreter, virtual, access, internet, openvpn, reverse, openbsd, fingerprint, openssh, wimax, wireless, hnncast, deepsec, systm, cisco, firewall |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
