WSSAT – Werkzeug zur Sicherheitsbewertung von Webservices

WSSAT ist ein quelloffenes Werkzeug zur Sicherheitsüberprüfung von Webservices, das eine dynamische Umgebung bietet, um Schwachstellen durch bloßes Bearbeiten seiner Konfigurationsdateien hinzuzufügen, zu aktualisieren oder zu löschen. Dieses Werkzeug akzeptiert eine Liste von WSDL-Adressen als Eingabedatei und führt für jeden Dienst sowohl statische als auch dynamische Tests auf Sicherheitslücken durch. Es führt auch Kontrollen zur Offenlegung von Informationen durch. Mit diesem Werkzeug können alle Webservices auf einmal analysiert werden und die Organisation kann die gesamte Sicherheitsbewertung einsehen.

Die Ziele von WSSAT sind es, Organisationen zu ermöglichen:

• Ihre Webservices-Sicherheitsanalyse auf einmal durchzuführen
• Die gesamte Sicherheitsbewertung mit Berichten einzusehen
• Ihre Webservices zu härten

WSSAT 2.0

REST-API-Scanning-Unterstützung wurde mit derselben Philosophie der dynamischen Schwachstellenverwaltung wie bei SOAP-Diensten hinzugefügt. ChangeLog

Die Hauptfunktionen von WSSAT umfassen:

Dynamische Tests:

• Unsichere Kommunikation – SSL nicht verwendet
• Nicht authentifizierte Dienstmethode
• Fehlerbasierte SQL-Injection
• Cross-Site-Scripting
• XML-Bombe
• Angriff auf externe Entitäten – XXE
• XPATH-Injection
• HTTP-OPTIONS-Methode
• Cross-Site-Tracing (XST)
• Fehlender X-XSS-Protection-Header
• Ausführliche SOAP-Fehlermeldung

Statische Analyse:

• Schwaches XML-Schema: Unbegrenzte Vorkommen
• Schwaches XML-Schema: Undefinierter Namespace
• Schwache WS-SecurityPolicy: Unsicherer Transport
• Schwache WS-SecurityPolicy: Unzureichender Schutz von Unterstützungstoken
• Schwache WS-SecurityPolicy: Token nicht geschützt

Informationsverlust: