XSSer: automatic tool for pentesting XSS attacks against different applications
XSSer: automatic tool for pentesting XSS attacks against different applications
XSSer: automatic tool for pentesting XSS attacks against different applications
Free Web Application Security Testing Tool
Automated Web Application Security Testing tools are in the core of modern penetration testing practices. You cannot rely 100% on the results they produce, without considering seriously their limitations. However, because these tools are so good at picking the low-hanging fruit by employing force and repetition, they still have a place in our arsenal of penetrating testing equipment. These tools a
自作検査ツール - SQLインジェクション編 - 2009-05-31 - T.Teradaの日記
前回の日記からだいぶ日にちが空いてしまいました。 今日は、自作検査ツールのSQLインジェクション用シグネチャについて書きます。 SQLインジェクションの検査シグネチャとしては、以下の5種類を用意しています。 A. SQLエラー検出+簡易なBlind B. Blind 数値型・カラム名等 C. Blind 文字列型 D. 更新系クエリ E. 文字コード系 SQLインジェクションは、かなりの頻度で脆弱性が発見されること、また一般的に危険度の高い脆弱性であることから、シグネチャの種類を多くしています。 それぞれのシグネチャについて、以下で順番に見ていきます。 A. SQLエラー検出+簡易なBlind 最初に試すのはベーシックなパターンです。 イ:【元の値】'"\'"\ … SQLエラーになる ロ:【元の値】''""\\ … SQLエラーにならない ハ:【元の値】'"\'"\ … SQLエラーにな
はてなブログ | 無料ブログを作成しよう
日記_2024.8.29 鞍馬と貴船 29日は鞍馬と貴船に行ってきました。こんな天気でバイクは無理、でも引きこもるのも嫌なので前々から行きたかった鞍馬と貴船に行くことにしました。ただ、いつ大雨が降っても全くおかしくないので天気がヤバそうなら帰ることにします。普通に日帰りできる距離ですから…
Qualys，Webアプリケーションのぜい弱性を検出するSaaS製品などを発表
米Qualysは米国時間2009年4月20日，米カリフォルニア州サンフランシスコで開催中の「RSA Conference」において，Webアプリケーションのぜい弱性を検出する「QualysGuard Web Application Scanning（WAS）1.0」などの新製品を発表した。 QualysGuard WASは，同社がSaaS（ソフトウエア・アズ・ア・サービス）形式で提供する「QualysGuard Security and Compliance Suite」の一部として利用可能となる。カスタムのWebアプリケーションを自動的にスキャンしてテストを行い，SQLインジェクションやクロスサイト・スクリプティングといったぜい弱性を検出する。社内外で稼働中または開発環境にある複数のWebアプリケーションに対応でき，QualysGuardのUIを使ってWebアプリケーションの管理やスキャ
HP、Flashアプリ向け無料セキュリティツール「SWFScan」をリリース
SWFScanは、Flashアプリケーションを逆コンパイルしてコードに脆弱性が含まれていないかどうか分析し、解決法を提示する。 米Hewlett-Packard（HP）は3月23日、Flashアプリ開発者向けの無料セキュリティツール「SWFScan」の提供を開始した。専用ページからダウンロードできる。 SWFScanは、Adobe Flashのプラットフォームで作成されたアプリケーションを逆コンパイルしてActionScriptコードを抜き出し、情報漏えいやクロスサイトスクリプティング攻撃などにつながる脆弱性が含まれていないかどうか分析する。分析結果としてコード内のセキュアではない部分がハイライト表示され、セキュリティ問題の解決法が提示される。 このツールはHP Web Security Research GroupがAdobeと協力して作成した。同グループがインターネット上で公開されてい
日本IBM、Webサイトのセキュリティと法令順守を検査・管理する新製品
日本アイ・ビー・エム株式会社（日本IBM）は3月11日、Webアプリケーション脆弱性検査ツールの新版「IBM Rational AppScan Enterprise Edition V5.5（以下、AppScan EE 5.5）」、およびWebサイトのコンプライアンス管理を行う新製品群「IBM Rational Policy Tester V5.5（以下、Policy Tester 5.5）」の日本語版を発表した。 AppScan EE 5.5は、Webサイトにおけるセキュリティリスクを解決する製品。Webアプリケーションに疑似テストを行うことで脆弱性を検査し、その結果と実施状態まで可視化してくれる。検査結果に関する各種レポートやグラフィカルなダッシュボードなどを備え、新版ではそれらに対するアクセス制限も可能になった。複数サーバーでの利用によるスケーラビリティ向上も図られている。価格は36
SQLインジェクション検出ツール「iLogScanner」を機能強化：IPA 独立行政法人 情報処理推進機構
なお、iLogScannerでSQLインジェクション攻撃が検出された場合や、特に攻撃が成功した可能性が検出された場合は、ウェブサイトの開発者やセキュリティベンダーに相談されることを推奨します。 iLogScannerは簡易ツールであり、ウェブサイトの脆弱性を狙った攻撃のアクセスログが無ければ脆弱性を検出しません。また、実際の攻撃による脆弱性検査は行っていません。攻撃が検出されない場合でも安心せずに、ウェブサイトの脆弱性検査を行うことを推奨します。 IPAとしては、ウェブサイト運営者が、この脆弱性検出ツールを利用することにより、自組織のウェブサイトに潜む脆弱性を確認するとともに、ウェブサイト管理者や経営者に対して警告を発し、セキュリティ監査サービスを受けるなど、脆弱性対策を講じるきっかけとなることを期待しています。 また、ウェブサイトの開発者やセキュリティベンダーが、本ツールを取引先等に紹介
“受動的”な検出ツール，Web 2.0系のぜい弱性に強み
この数年来，Webアプリケーションのぜい弱性を狙った攻撃により，個人情報が漏洩したり，Webページが改ざんされる被害がたびたび発生しています。このような被害に遭わないように，Webサイト開発者には今，セキュアなWebアプリケーションを開発することが求められています。 セキュアなWebアプリケーションを開発するために一番重要なことは，そもそもセキュアに設計・コーディングすることです。そのためには開発者の教育や開発ガイドラインなどが必要になります。同時に，開発者が作ったものが本当にセキュアであるかを確認するプロセスが必要です。確認の対象となるのは，設計書，ソースコード，実際に稼働するアプリケーションなどですが，一般にWebアプリケーションにおいて広く行なわれているのは，実際に稼働しているアプリケーションを対象とする検査ではないかと思います。 この種の検査では，Webアプリケーションに対して様々
The World's Most Popular API Testing Tool | SoapUI
NEWAPI Exploration Made Easy Accelerating API Quality Through Testing Whether open source or commercial, SmartBear testing tools make it easy to create, manage, and execute end-to-end tests on REST, SOAP, & GraphQL APIs, JMS, JDBC, and other web services so you can deliver software faster than ever. Try ReadyAPI Free
ScanNetSecurity - 現役ペンテスト技術者が選ぶ 使えるセキュリティツール(18) 「SiteDigger」
このコーナーでは、現役のペネトレーションテスト技術者が、使えるセキュ リティツールを、ペンテストの現場の視点から紹介します。 ◆名称：SiteDigger ◆配布制限： ◆商用版の有無：無 ◆類似ツール：- ◆公式 URL：http://www.foundstone.com/us/resources/proddesc/sitedigger.h tm ◆対応OS：Windows系OS ◆分野：Googleハッキング ◆コマンド一覧： (1) 基本項目と概要 「SiteDigger」は、Googleハッキングを自動的に行うものである。Googleハッキングについてご存知ない方のために簡単に説明しておこう。 Googleハッキングとは文字通り、大御所検索サイトであるGoogleの強力な検索機能、キャッシュ機能を利用した探査行為のことである。どのよう
xsslint
NAME xsslint - audit XSS vulnerability of web pages SYNOPSIS xsslint [options] URL [, URL ...] DESCRIPTION xsslint is a command line tool to audit XSS vulnerabity of HTML forms in web pages. When it finds XSS vulnerability in HTML form, it displays action, untainted names and example URL with which the vulnerability can be confirmed. OPTIONS --no-cookie This option disables xsslint to accept HTTP-
nCircle WebApp360
"With WebApp360, nCircle enhances the value of their enterprise-wide risk assessment to include on-going production scanning of these critical web-based applications, complementing the penetration testing that may have been done during development and enabling their ongoing security. " - Peter Christy, Principal, Internet Research Group Enterprise Class Web Application Scanning for Production Env
SQL Injectionツール - teracc’s blog
ここのところ、いくつかのSQL Injectionツールについて調べていました。今日はその結果を日記に書いてみようと思います。 はじめに SQL Injectionツールとは SQL Injection脆弱性の発見と、発見した脆弱性を突いてのDB内情報の取得を行なうためのツールです。 ただし、多くのツールでは「脆弱性の発見」はおまけで、後者のDB内情報の取得に主眼を置いています。一般的には、汎用のWeb脆弱性スキャナなどで脆弱性を見つけて、その脆弱性に対してこの日記に書いているようなツールを使って情報を取得するという使い方をすることが多いでしょう。 SQL Injectionツールは、いわゆるHackingツールです。脆弱性検査を行なう者か、さもなければCrackingを行なう犯罪者が使うくらいで、一般のWeb開発者やユーザの人が使う必要に迫られることは無いでしょう。 ツールの使用に際して
Web Application Vulnerability Scanners - SAMATE
Web Application Vulnerability Scanners are tools designed to automatically scan web applications for potential vulnerabilities. These tools differ from general vulnerability assessment tools in that they do not perform a broad range of checks on a myriad of software and hardware. Instead, they perform other checks, such as potential field manipulation and cookie poisoning, which allows a more foc
リクエストをいじれば脆弱性の仕組みが見えるのだ！
telnetでリクエストを打つのは面倒…… クウ 「うーん。めんどくさい……」 ジュンさんにWebアプリエンジニアとして重要な基礎、HTTPのしくみを教えてもらったクウは、引き続きHTTPと格闘中だ。 クウはジュンさんに教わったとおりtelnetを使ってHTTPを勉強していた。しかし、telnetで静的ファイルの閲覧などは比較的簡単にできるのだが、肝心のWebアプリケーションの閲覧を行うには非常に面倒であった。 ユウヤ 「どうしたの？」 クウ 「HTTPの勉強しようと思ったんだけど、コマンドをいちいち打ち込むの大変なんだよね……」 ユウヤ 「なんかそういうの、簡単にできるツールあるんじゃないの？」 クウ 「ああ、そうか。よく考えたらそういうのありそうだね。ちょっと探してみよっと」 ユウヤ 「まあ、それはいいとしてだ。昨日頼んでおいた資料ってどうなった？」 クウ 「ああっ。ごめん！ 共有サー
First Line of Defense for Web Applications – Part 4
HelloSecureWorld.com Launched Discover the New HelloSecureWorld Security Resource www.HelloSecureWorld.com provides a powerful... Author: Techjunkie2 Date: 02/01/2008 First Line of Defense for Web Applications – Conclusion Platform features for validating input in .NET Framework There are many platform features which... Author: Techjunkie2 Date: 01/06/2008 First Line of Defense for Web Application
Web Application Scanning Depth Statistics ha.ckers.org web application security lab
One of the most difficult aspects of web application security scanners is understanding how to evaluate them. Obviously the false positive false negative ratios are important, but it’s often difficult to measure, as it depends on the web application in question. However, Larry Suto came up with a very interesting concept on how to do unbiased measurements of web application scanners. One of the mo
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Google Code Archive - Long-term storage for Google Code Project Hosting.
"21proxy" by yamagata21