Tools die testen op XSS en Sql-injecties

[Maghiel]

De nieuwste website die ik gemaakt heb wil ik even flink goed testen.
Nou is het probleem natuurlijk dat als je zelf iets gemaakt hebt, je de fouten ook niet ziet.
Dus ik wil er een tool op los laten(ook kan een mens het een stuk beter natuurlijk).

Ik heb deze gevonden:http://www.acunetix.com/, ziet er best ok uit.
Kost wel 1000 euro voor 1 website, maar dat is de investering wel waard.

Nou ben ik benieuwd, hebben sommigen hier ervaring met dit soort tools?

[.oisyn]

Waar hoort mijn topic?
-> Development Tools & Environments

[Flard]

Ik heb wel eens vaker een website onder die acunetix WVS gehouden en die was in mijn geval erg goed, heel wat gaten gevonden.
Hij gaat alle pagina's op je website af, en probeert vervolgens een aantal bekende vulnerabilities uit op je forms.

Als je het geld ervoor over hebt, dan is hij zeker de moeite waard.

Het is ook de enige tool die ik wat dat betreft ken, die ook zo diep gaat.

[NMe]

.oisyn schreef op dinsdag 14 oktober 2008 @ 17:10:
Waar hoort mijn topic?
-> Development Tools & Environments

Wat hij zegt.

[Maghiel]

Flard schreef op dinsdag 14 oktober 2008 @ 17:10:
Ik heb wel eens vaker een website onder die acunetix WVS gehouden en die was in mijn geval erg goed, heel wat gaten gevonden.
Hij gaat alle pagina's op je website af, en probeert vervolgens een aantal bekende vulnerabilities uit op je forms.

Als je het geld ervoor over hebt, dan is hij zeker de moeite waard.

Het is ook de enige tool die ik wat dat betreft ken, die ook zo diep gaat.

Dank je voor de reactie, klinkt goed!

.oisyn schreef op dinsdag 14 oktober 2008 @ 17:10:
Waar hoort mijn topic?
-> Development Tools & Environments

-NMe- schreef op dinsdag 14 oktober 2008 @ 17:15:
[...]

Wat hij zegt.

Excuses, ik vond het niet helemaal een development tool, vond deze topic eigenlijk nergens echt inpassen, maar weer wat geleerd

[Maghiel]

Ik heb hem maar gekocht, of nou ja, m'n baas dan

Denk dat ie wel even zoet is met scannen, zal morgen m'n bevindingen posten!

[Verwijderd]

Een ander alternatief is misschien nog http://www.fortify.com.

Mijn ervaring hiermee is dat het erg grondig is waardoor het in eerste instantie vrij veel false positives oplevert. Gelukkig is het redelijk makkelijk om de analyses aan te passen waardoor er best een goed resultaat uit kan komen.

[temp00]

http://www.nessus.org/nessus/
http://www.metasploit.com/

[RobIII]

temp00 schreef op dinsdag 14 oktober 2008 @ 21:14:
http://www.nessus.org/nessus/
http://www.metasploit.com/

Een klein beetje onderbouwing zou ook fijn zijn; anders wordt het zo'n spam-topic Daarbij lijken beide me meer network security en dus niet voor XSS en SQL injection.

[ Voor 16% gewijzigd door RobIII op 14-10-2008 21:28 ]

[temp00]

Ok meer onderbouwing. Waarom alleen testen op XSS en SQL? Ik zou als ik jou was een iso als Backtrack3 of Knoppix STD downloaden waar genoemde tooltjes (en veel meer) in zitten. Kan je zelf een vrij grondige audit uitvoeren en nog gratis ook. Je moet wel een beetje weten waar je mee bezig bent, maar voor menig Tweakert moet dat geen probleem zijn lijkt me. Hier ook overigens niet schrikken van de vele false positives, fouten enz.

@Rob:
Nessus en Metasploit testen wel degelijk op XSS en SQL injection. Nessus iig. Hier bijv. een quote uit een oud HTML-rapportje van een Nessus test audit die ik lang geleden met een oude versie onder Linux heb gedaan. Ik neem aan dat soort dingen nog steeds in de wat recentere versies van Nessus zitten.

Warning found on port www (80/tcp)

The remote web server seems to be vulnerable to the Cross Site Scripting vulnerability (XSS). The vulnerability is caused
by the result returned to the user when a non-existing file is requested (e.g. the result contains the JavaScript provided
in the request).
The vulnerability would allow an attacker to make the server present the user with the attacker's JavaScript/HTML code.
Since the content is presented by the server, the user will give it the trust
level of the server (for example, the trust level of banks, shopping centers, etc. would usually be high).

Risk factor : Medium

Solutions:

Allaire/Macromedia Jrun:
http://www.macromedia.com/software/jrun/download/update/
http://www.securiteam.com...curity_vulnerability.html
Microsoft IIS:
http://www.securiteam.com...ty__Patch_available_.html
Apache:
http://httpd.apache.org/info/css-security/
ColdFusion:
http://www.macromedia.com/v1/handlers/index.cfm?ID=23047
General:
http://www.securiteam.com...y_generated_web_site.html
http://www.cert.org/advisories/CA-2000-02.html

Nessus ID : 10815

[Maghiel]

Dank voor de antwoorden, helaas had ik hem dus al gekocht

Programma bevalt me goed, geeft heel veel false positives op bijvoorbeeld achtergebleven backup bestanden, maar dat komt meer omdat ik geen foutpagina geef bij een niet bestaande pagina, maar gewoon de homepage laat zien. Deze false-positives kun je dan weer configureren zodat hij er later niet meer om zeurt.

In 1 formulier heeft ie wat XSS gaten gevonden, was een oud formuliertje, voor de rest eigenlijk niets, dus heb mezelf een schouderklopje gegeven.

Hij zoekt echt op een hele berg dingen, bijvoorbeeld ook op exploits in je PHP of Apache versie. Alles noemen gaat hier een beetje te ver.

Je kan ook dingen als inloggen opnemen, zodat hij zelf kan inloggen en ook op afgeschermde pagina's kan kijken. En dan aangeven wat de uitlog url is zodat hij zichzelf niet perongeluk uitlogd.