WSSAT – Werkzeug zur Sicherheitsbewertung von Webservices

WSSAT ist ein quelloffenes Werkzeug zur Sicherheitsüberprüfung von Webservices, das eine dynamische Umgebung bietet, um Schwachstellen durch bloßes Bearbeiten seiner Konfigurationsdateien hinzuzufügen, zu aktualisieren oder zu löschen. Dieses Werkzeug akzeptiert eine Liste von WSDL-Adressen als Eingabedatei und führt für jeden Dienst sowohl statische als auch dynamische Tests auf Sicherheitslücken durch. Es führt auch Kontrollen zur Offenlegung von Informationen durch. Mit diesem Werkzeug können alle Webservices auf einmal analysiert werden und die Organisation kann die gesamte Sicherheitsbewertung einsehen.

Die Ziele von WSSAT sind es, Organisationen zu ermöglichen:

• Ihre Webservices-Sicherheitsanalyse auf einmal durchzuführen
• Die gesamte Sicherheitsbewertung mit Berichten einzusehen
• Ihre Webservices zu härten

WSSAT 2.0

REST-API-Scanning-Unterstützung wurde mit derselben Philosophie der dynamischen Schwachstellenverwaltung wie bei SOAP-Diensten hinzugefügt. ChangeLog

Die Hauptfunktionen von WSSAT umfassen:

Dynamische Tests:

• Unsichere Kommunikation – SSL nicht verwendet
• Nicht authentifizierte Dienstmethode
• Fehlerbasierte SQL-Injection
• Cross-Site-Scripting
• XML-Bombe
• Angriff auf externe Entitäten – XXE
• XPATH-Injection
• HTTP-OPTIONS-Methode
• Cross-Site-Tracing (XST)
• Fehlender X-XSS-Protection-Header
• Ausführliche SOAP-Fehlermeldung

Statische Analyse:

• Schwaches XML-Schema: Unbegrenzte Vorkommen
• Schwaches XML-Schema: Undefinierter Namespace
• Schwache WS-SecurityPolicy: Unsicherer Transport
• Schwache WS-SecurityPolicy: Unzureichender Schutz von Unterstützungstoken
• Schwache WS-SecurityPolicy: Token nicht geschützt

Informationsverlust:

• Offenlegung von Server- oder Technologieinformationen

Die Hauptmodule von WSSAT sind:

• Parser
• Schwachstellen-Lader
• Analysator/Angreifer
• Logger
• Berichtsgenerator

Installation & Nutzung:

• Installation
• Verwendung

Weitere Hilfe

Der Hauptunterschied von WSSAT besteht darin, eine dynamische Umgebung zur Schwachstellenverwaltung zu schaffen, anstatt die Schwachstellen in den Code einzubetten.

Dieses Projekt wurde als Studienprojekt im Masterstudiengang Software-Management an der Middle East Technical University (METU) ins Leben gerufen.

Spende:

WSSAT ist ein Open-Source-Projekt, und Ihre Spende wird es verbessern:

Bitcoin (BTC): 19qsms2YnaN6CY7tFsWpqwAtQyV7QFhGs4

Ether (ETH): 0x08b543C5B2398999e8d03BC77b76329d832B2f82

Bitcoin Cash (BCH): qps07ker5c2t3h9355taueu0u83yxfw4jye6s4na2e