ASST #BETA

OWASP ASST (Automated Software Security Toolkit) | Ein neuartiger Open-Source-Web-Sicherheitsscanner.

Hinweis: AWSS ist der ältere Name von ASST

Einleitung

Webanwendungen sind zu einem integralen Bestandteil des täglichen Lebens geworden, aber viele dieser Anwendungen werden mit kritischen Schwachstellen ausgeliefert, die fatal ausgenutzt werden können. Da die Technologien zur Entwicklung dieser Anwendungen immer anspruchsvoller werden, werden auch die Techniken der Angreifer immer raffinierter. Angreifer benötigen keinen physischen Zugriff mehr auf die Opfer, sie können mehrere gleichzeitig angreifen, und die Wahrscheinlichkeit, erwischt und vor Gericht gestellt zu werden, ist minimal.

Automatisierte Web-Schwachstellenscanner werden häufig eingesetzt, um die Sicherheit von Webanwendungen zu bewerten. Sie können die Effizienz der Schwachstellenerkennung im Vergleich zur traditionellen manuellen Erkennung verbessern, die zeitaufwändig, arbeitsintensiv und ineffizient ist. Es gibt viele Web-Schwachstellenscanner im Internet, aber sie erklären nicht den möglichen Angriff und wie man Gegenmaßnahmen ergreifen kann.

Wir haben einen neuen automatisierten Web-Schwachstellenscanner namens Automated Software Security Toolkit (ASST) entworfen und implementiert, der den Quellcode eines Webprojekts scannt und einen Ergebnisbericht mit einer detaillierten Erklärung zu jeder möglichen Schwachstelle und wie man sich dagegen schützen kann, generiert. Wir haben die Leistung von ASST getestet und seine Ergebnisse mit anderen großen Open-Source-Schwachstellenscannern verglichen. Unsere Ergebnisse zeigen, dass ASST Schwachstellen in der Websicherheit umfassender und genauer identifizieren kann.

HINWEIS: Es ist noch in der Entwicklung. Bitte melden Sie jeden Fehler, den Sie erhalten.

Was ist ASST?

ASST ist ein Open-Source-Quellcode-Scan-Tool, es ist eine CLI-Anwendung (Command Line Interface), entwickelt mit JavaScript (Node.js-Framework).

Derzeit konzentriert es sich auf die Programmiersprachen PHP und MySQL, aber da seine Kernfunktionen fertig und für jedermann verfügbar sind, können Programmierer beitragen und Plugins oder Erweiterungen hinzufügen, um Funktionen zu erweitern und es für andere Programmiersprachen wie Java, C#, Python usw. und deren Frameworks scannen zu lassen. Die Infrastruktur ist so ausgelegt, dass andere Programmierer dazu beitragen können, sie besser und neuartiger zu machen.

Unseres Wissens nach ist ASST das einzige Tool, das PHP-Sprache gemäß den OWASP Top 10 Web Application Security Risks scannt.

Wie ASST Entwicklern beibringt, ihren Code zu sichern?

Wenn ASST ein Projekt scannt, überprüft es jede einzelne Datei Zeile für Zeile auf Sicherheitslücken. Wenn eine Schwachstelle erkannt wird, gibt es im Bericht einen Hinweis, in welcher Zeile in welcher Datei eine Schwachstelle gefunden wurde, sowie einen "Click Here"-Link, der den Angriff erklärt und zeigt, wie man sich dagegen schützt.

Die Ergebnisse von ASST werden als HTML-Bericht angezeigt, der mit PDF-Dateien verknüpft ist, um jeden Angriff und seinen Schutzmechanismus zu erklären.

Wie kann ich beitragen?

• ASST kann leicht erweitert werden, um andere Programmiersprachen zu unterstützen, die auf Schwachstellen gescannt werden können. Das Projekt ist Open Source, daher können Programmierer mit Cybersicherheits-Kenntnissen beitragen oder das Toolkit forken und Funktionen hinzufügen. Andere Programmiersprachen wie Python, C#, Java oder Node.js selbst können hinzugefügt werden, um als Backend-Servercode auf Schwachstellen gescannt zu werden.

• Wenn Sie ein sicherheitserfahrener Entwickler sind, können Sie dazu beitragen, diese aktuelle Version zu verbessern, oder Sie können dazu beitragen, neue Programmiersprachen zum Scannen hinzuzufügen. Es gibt jedoch Regeln, die bei der Verbesserung beachtet werden müssen:

1. Die Kerncodes sollten nicht geändert werden, aber Sie können bessere vorschlagen oder neue hinzufügen, wenn der Bedarf gut begründet ist.
2. Ein spezifischer Sprachkerncode kann geändert werden, wenn er verbessert werden kann.
3. Wenn Sie eine neue Sprache hinzufügen möchten, müssen Sie demselben Codedesign und derselben Dateistruktur des Projekts folgen.

Wie installiere und führe ich es aus?

Damit ASST zu 100% funktioniert, müssen Sie Folgendes installieren:

1. localhost auf Ihrem PC, wir empfehlen (XAMPP).
2. Node.js Engine v12.13.0

• Die beste Verwendung von ASST ist, es direkt auf dem Online-Produktionsserver auszuführen und die darin enthaltenen Projekte zu scannen, da ASST auch die PHP- und MySQL-Versionen des Servers überprüft, ob sie veraltet sind oder nicht.

A) ASST unter Windows installieren

Vollständiges Video zur Ausführung von ASST unter Windows: https://youtu.be/FKxDa3zYz1E

1. XAMPP unter Windows

Sie können XAMPP für Windows hier herunterladen: https://www.apachefriends.org/download.html wählen Sie die PHP-Version, die zu Ihrem Projekt passt. Wenn Sie nicht wissen, welche Version Sie wählen sollen, wählen Sie einfach die erste für Windows.

Nachdem Sie XAMPP heruntergeladen und installiert haben (Weiter, Weiter, Weiter, Fertigstellen), starten Sie das XAMPP Control Panel. Sie können XAMPP im Startmenü-Suchfeld eingeben, dann sehen Sie es, starten Sie es. Neben den Labels Apache und MySQL drücken Sie Start (zwei Schaltflächen).

PS:

1. Stellen Sie sicher, dass auf Ihrem PC kein Virtual Machine-Programm installiert ist, da XAMPP und Virtual Machine sich um Ports streiten. Sie müssen die Hintergrunddienste der VM über den Task-Manager erzwingen (googeln Sie, wenn Sie nicht wissen, wovon ich spreche).

2. Stellen Sie sicher, dass Skype geschlossen ist (auch aus der Taskleiste), da sie sich ebenfalls um Ports streiten. Sie können Skype nach dem Start von XAMPP ausführen.

Platzieren Sie den Ordner Ihres Projekts in htdocs: Standard: "C:\xampp\htdocs\IhrProjektordnername"

Öffnen Sie den Browser, geben Sie ein: localhost/phpmyadmin, erstellen Sie eine leere Datenbank, importieren Sie Ihre project_database.sql-Datei darin, öffnen Sie den Ordner Ihres Projekts und ändern Sie die Konfigurationsdatei Ihres Projekts, um eine Verbindung zum MySQL-localhost herzustellen: Standardkonfigurationen sind: host: "localhost" oder "127.0.0.1", username: "root", password: "" (Leerer_String), database name: "dbname_you_chose_in_phpmyadmin"

2. Node.js unter Windows

Sie müssen eine bestimmte Version von Node.js für Windows von hier herunterladen: https://nodejs.org/en/blog/release/v12.13.0/ wählen Sie (Windows 64-bit Installer), dann herunterladen, Weiter, Weiter, Weiter und Fertigstellen.

Wir aktualisieren Node.js nicht jeden Monat. Wenn Sie es selbst testen möchten, können Sie die neueste Node.js-Version von hier herunterladen: https://nodejs.org/en/download/ wählen Sie (Windows Installer (.msi)), herunterladen und ausführen, Weiter, Weiter, Weiter und Fertigstellen.

PS: Das Herunterladen der neuesten Node.js-Engine erfordert möglicherweise ein Update der ASST-Module. Wenn Sie also wissen, was Sie tun, Zeit haben und beitragen möchten, können Sie Ihre neueste Node.js-Version melden und Module aktualisieren und uns bitten, sie auf dem Repo zu committen, wenn es funktioniert.

3. ASST unter Windows ausführen

Laden Sie das ASST-Projekt von dieser GitHub-Seite herunter und entpacken Sie es. Benennen Sie den Ordner in "ASST" um, nicht "ASST-main". Verschieben Sie den ASST-Ordner neben Ihr Webprojekt, um es zu scannen: Standard: "C:\xampp\htdocs\ASST"

Konfigurationen:

1. Öffnen Sie config.js im ASST-Ordner und setzen Sie den Namen des zu scannenden Webprojektordners in der Variable DEFAULT_PROJECT_PATH_TO_SCAN.