WSSAT - Outil d'évaluation de la sécurité des services web

WSSAT est un outil open source d'analyse de sécurité des services web qui offre un environnement dynamique pour ajouter, mettre à jour ou supprimer des vulnérabilités en modifiant simplement ses fichiers de configuration. Cet outil accepte une liste d'adresses WSDL comme fichier d'entrée et, pour chaque service, effectue des tests statiques et dynamiques contre les vulnérabilités de sécurité. Il assure également des contrôles de divulgation d'informations. Avec cet outil, tous les services web peuvent être analysés en une seule fois et l'évaluation globale de la sécurité peut être consultée par l'organisation.

Les objectifs de WSSAT sont de permettre aux organisations :

• Effectuer l'analyse de sécurité de leurs services web en une seule fois
• Visualiser l'évaluation globale de la sécurité avec des rapports
• Renforcer la sécurité de leurs services web

WSSAT 2.0

REST API prise en charge de l'analyse ajoutée avec la même philosophie d'environnement de gestion dynamique des vulnérabilités que pour les services SOAP. ChangeLog

Les principales capacités de WSSAT incluent :

Tests dynamiques :

• Communication non sécurisée - SSL non utilisé
• Méthode de service non authentifiée
• Injection SQL basée sur les erreurs
• Cross Site Scripting
• Bombe XML
• Attaque par entité externe - XXE
• Injection XPATH
• Méthode HTTP OPTIONS
• Cross Site Tracing (XST)
• En-tête X-XSS-Protection manquant
• Message d'erreur SOAP verbeux

Analyse statique :

• Schéma XML faible : occurrences illimitées
• Schéma XML faible : espace de noms non défini
• Politique WS-SecurityPolicy faible : transport non sécurisé
• Politique WS-SecurityPolicy faible : protection insuffisante du jeton de support
• Politique WS-SecurityPolicy faible : jetons non protégés

Fuites d'informations :

• Divulgation d'informations sur le serveur ou la technologie

Les principaux modules de WSSAT sont :

• Parseur
• Chargeur de vulnérabilités
• Analyseur/Attaquant
• Journaliseur
• Générateur de rapports

Installation & Utilisation :

• Installation
• Utilisation

Pour plus d'Aide

La principale différence de WSSAT est de créer un environnement de gestion dynamique des vulnérabilités au lieu d'intégrer les vulnérabilités dans le code.

Ce projet a été lancé en tant que projet de semestre à l'Université Technique du Moyen-Orient (METU), programme de master en gestion de logiciels.

Donations :

Bitcoin (BTC): 19qsms2YnaN6CY7tFsWpqwAtQyV7QFhGs4

Ether (ETH): 0x08b543C5B2398999e8d03BC77b76329d832B2f82

Bitcoin Cash (BCH): qps07ker5c2t3h9355taueu0u83yxfw4jye6s4na2e