10:29
23/3/2010

Skipfish to open-source’owy projekt stworzony przez Michała Zalewskiego. Zaletą Skipfisha jest łatwość obsługi, szybkość i wysoka optymalizacja.

Skipfish przy niewielkim zużyciu mocy procesora jest w stanie wysyłać ponad 2000 żądań HTTP na sekundę do celów w LAN-ie. Dodatkowo, narzędzie zostało tak zaprojektowane, aby liczba raportowanych false-positive’ów była jak najmniejsza. Skipfish, jak przyznaje jego autor, nie spełnia jednak wszystkich wymagań stawianych przez WASC Web Application Security Scanner Evaluation Criteria skanerom webaplikacji.

Działanie Skipfisha polega na stworzeniu interaktywnej mapy strony przy pomocy podążania za linkami lub ataków słownikowych. Zastanawiacie się pod kątem jakich podatności Skipfish testuje webaplikacje? Rzućcie okiem tutaj.

Skipfish, fastfish

Skipfish Jest tak szybki, że niektórzy już żartują iż jedyna podatność na atak jaką uda się znaleźć przy pomocy tego narzędzia, to podatność na DDoS :-)

Przy okazji przypominamy, że lcamtuf jest również autorem narzędzia ratproxy, a na rynku istnieje sporo programów spełniających podobne do Skipfisha funkcje: np. Acunetix, Nikto (Wikto), Hailstorm, Sentinel, Net-Stalker czy Nessus.

Przeczytaj także:



15 komentarzy

Dodaj komentarz
  1. Nikto miał dziesiątki false positives, a nie wykrył prawdziwych błędów. Szkoda czasu.

    Skipfisha mam zamiar wkrótce wypróbować. Kto zna autora ten wie, że tym razem można spodziewać się czegoś naprawdę dobrego.

  2. I ja uwazam podobnie :)

  3. Są już pierwsze recenzje – http://feedproxy.google.com/~r/SucuriSecurity/~3/OV6Rr7ZIHIM/closer-look-at-skipfish.html – poza szybkością i masą generowanych 404, niestety niewiele.

  4. Tak przy okazji zna ktoś dobry skaner stron internetowych? Chodzi mi o to, że znajomy ma stronkę i chce ją przetestować pod względem bezpieczeństwa czy nie ma głupich luk, jak to zrobić nie mając odpowiedniej wiedzy? Wiadomo program wszystkiego nie wykryje. Aha i czy program taki musi mieć dostęp do kodu źródłowego czy jak to działa? Podaje się adres stronki a on znajduje luki i podpowiada jak można je załatać? Wtedy to każdy by mógł zobaczyć luki w różnych serwisach? Mógłby ktoś to wyjaśnić? :) Może niebezpiecznik zrobiłby jakiś poradnik/artykuł i wybrał choć 3 najlepsze programy do tego i je opisał jak się używa itd? :D Z góry dzięki

  5. Nicer: ostatnie zdanie w artykule…

  6. Niestety, wymienione alternatywy mają dwie wady – albo są komercyjne (Acunetix), albo mają charakter sygnaturowy (wikto/nikto, większość komercyjnych). Pewną alternatywą jest napisany w Pythonie w3af ale szczerze mówiąc nie udało mi się go w praktyce użyć na żadnej prawdziwej aplikacji bez grzebania tak głębokiego, że prościej jest ten czas poświęcić na grzebanie w aplikacji :) Dobrą aplikacją jest też sqlmap, tyle że do jednej klasy dziur.

  7. Ja używam Acunetix Enterprise najczęściej
    ale skanery to dość oszukańcza metoda . Nawet najbardziej zaawansowane
    często pomijają krytyczne dla bezpieczeństwa serwera bugi ,
    a skoro tak “zaawansowne” zabawki nic nie znajdują to ludzie wychodzą z założenia że bugów nie ma .Eh chodzi o to że skanery potrafią skutecznie zniechęcić do
    audytu gdy nie mamy dostępu do źródeł danej aplikacji
    i musimy ją przetestować z zewnątrz

  8. …ale oczywiście bywają bardzo pomocne ;D

  9. Generalnie najlepsze moduły z tych wszystkich skanerów
    to crawlery , google doorki i wszystko co ujawnia strukture plików i katalogów na serwie
    reszta to poezja

  10. Skanery bardziej przydają się do “znajdź znane/łatwe do wykrycia luki żeby można było zająć się ciekawszymi” ;]

  11. Acunetix jest akurat ciekawym narzędziem ze względu na AcuSensor – możliwość testowania aplikacji “od środka” jako moduł zagnieżdżony w kodzie. Korzystając z Acunetixa, wiem, że sprawdzi aplikację bardzo kompleksowo, ze względu na szeroką gamę funkcjonalności i szeroki wachlarz sprawdzanych typów ataków.

  12. @Nicer, zainteresuj sie projektem metasploit. A jak masz nadmiar $$$ to core impact.

  13. […] nie trzeba nikomu przedstawiać. Michał został nominowany za atak strokejacking oraz narzędzia skanera luk w webaplikacjach o nazwie […]

  14. działa jeszcze kod COREDUMP.CX – na 30%, ale bardziej opłaca się wziąć z Amazonu na Kindle’a

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: