skipfish - SecuDiaryGoogle製のActive Webアプリケーションスキャナ。コマンドラインのスキャナだが、自動的にクロールしてSQLインジェクションやXSSを検知できるそうだ。Cで書かれているから高速だとか、使い方が簡単とかの特徴がある。 手元のCentOSでコンパイルしてみたところ、それほど手間がかからずバイナリができた。*1 試しに以下のようなオプションを付けて、DVWAに対してスキャンしてみた。 ./skipfish -o dvwa -W dictionaries/default.wl http://192.168.xx.xx/dvwa/ そうすると、ものすごい早さでクロールとスキャンが走りだしコンソールはこんな感じに。 スキャンが終わるとレポートが出力されるので、ブラウザで表示すると以下の３種類の見方で結果が表示される。 Crawl results Document type overview
