ASST #BETA

OWASP ASST (Automated Software Security Toolkit) | Un nuovo scanner di sicurezza web open source.

Nota: AWSS è il nome precedente di ASST

Introduzione

Le applicazioni web sono diventate parte integrante della vita quotidiana, ma molte di queste applicazioni vengono distribuite con vulnerabilità critiche che possono essere sfruttate fatalmente. Con l'evolversi delle tecnologie utilizzate per sviluppare queste applicazioni, anche le tecniche degli attaccanti diventano più sofisticate. Gli attaccanti non hanno più bisogno di accesso fisico alle vittime, possono attaccare più di una contemporaneamente e la possibilità di essere catturati e portati alla giustizia è minima. Gli scanner automatizzati di vulnerabilità web sono stati ampiamente utilizzati per valutare la sicurezza delle applicazioni web. Possono migliorare l'efficienza della scansione delle vulnerabilità rispetto alla tradizionale rilevazione manuale delle vulnerabilità, che richiede tempo, è laboriosa e inefficiente. Ci sono molti scanner di vulnerabilità web su Internet, tuttavia, non spiegano il possibile attacco e come avere contromisure contro di esso. Abbiamo progettato e implementato un nuovo scanner automatizzato di vulnerabilità web chiamato Automated Software Security Toolkit (ASST), che scansiona il codice sorgente di un progetto web e genera un rapporto dei risultati con una spiegazione dettagliata su ogni possibile vulnerabilità e come proteggersi da essa. Abbiamo testato le prestazioni di ASST e confrontato i suoi risultati con altri importanti scanner di vulnerabilità open source. I nostri risultati mostrano che ASST è in grado di identificare le vulnerabilità di sicurezza del software web in modo più completo e accurato.

NOTA: È ancora in fase di sviluppo, si prega di segnalare qualsiasi errore riscontrato.

Cos'è ASST?

ASST è uno strumento open source per la scansione del codice sorgente, è un'applicazione CLI (Command Line Interface), sviluppata con JavaScript (framework Node.js).

Attualmente si concentra sui linguaggi di programmazione PHP e MySQL, ma poiché le sue funzionalità di base sono pronte e disponibili per tutti, i programmatori possono contribuire e aggiungere plugin o estensioni per aggiungere funzionalità e farlo scansionare anche altri linguaggi di programmazione come Java, C#, Python, ecc., e i loro framework. La sua infrastruttura è quindi progettata per essere ampliata da altri programmatori per renderlo migliore e più innovativo.

Per quanto ne sappiamo, ASST è l'unico strumento che scansiona il linguaggio PHP secondo i rischi di sicurezza delle applicazioni web OWASP Top 10.

Come ASST Insegna agli Sviluppatori a Proteggere i Propri Codici?

Quando ASST scansiona un progetto, controlla ogni singolo file riga per riga alla ricerca di vulnerabilità di sicurezza. Se viene rilevata una vulnerabilità, avvisa nel rapporto a quale riga di quale file è stata rilevata una vulnerabilità e un link "Clicca Qui" per spiegare l'attacco e come proteggersi.

I risultati di ASST vengono visualizzati come rapporto HTML collegato a file PDF per spiegare ogni attacco e il suo meccanismo di protezione.

Come Contribuire?

• ASST può essere facilmente esteso per supportare altri linguaggi di programmazione che possono essere scansionati per vulnerabilità. Il progetto è open source, quindi i programmatori con competenze in cybersecurity possono contribuire o fare fork del toolkit e aggiungere funzionalità. Altri linguaggi di programmazione come Python, C#, Java o Node.js stesso possono essere aggiunti per essere scansionati per vulnerabilità come codice server backend.

• Se sei uno sviluppatore esperto di sicurezza, puoi contribuire a migliorare questa versione corrente, oppure puoi contribuire aggiungendo nuovi linguaggi di programmazione da scansionare. Ma ci sono regole da seguire durante il miglioramento:

1. I codici Core non devono essere modificati, mentre puoi suggerire codici migliori o aggiungerne di nuovi se ben giustificata la loro necessità.
2. Un Codice Core di un Linguaggio specifico può essere modificato se può essere migliorato.
3. Se vuoi aggiungere un nuovo linguaggio, devi seguire lo stesso design del codice e la struttura dei file del progetto.

Come installarlo ed eseguirlo?

Per far funzionare ASST al 100%, dovrai installare:

1. localhost sul tuo PC, consigliamo (XAMPP).
2. Node.js Engine v12.13.0

• L'uso migliore di ASST è eseguirlo direttamente su un Server di Produzione Online e scansionare i progetti al suo interno. perché ASST controlla anche le versioni di PHP e MySQL del Server per verificare se sono obsolete o meno.

A) Installare ASST su Windows

Video completo su come eseguire ASST su Windows: https://youtu.be/FKxDa3zYz1E

1. XAMPP su Windows

Puoi scaricare XAMPP per Windows da qui: https://www.apachefriends.org/download.html scegli la versione di PHP adatta al tuo progetto, se non sai quale versione scegliere, scegli la prima per Windows.

Dopo aver scaricato e installato XAMPP (Avanti, Avanti, Avanti, Fine), esegui il Pannello di Controllo di XAMPP, puoi digitare XAMPP nel campo di ricerca del menu Start e lo vedrai, eseguilo, accanto alle etichette Apache e MySQL premi start (due pulsanti).

PS:

1. Assicurati che sul tuo PC non sia installato un programma di Macchina Virtuale perché XAMPP e la Macchina Virtuale entrano in conflitto sulle porte, dovrai forzare la chiusura dei servizi in background della VM usando il Task Manager (cerca su Google se non sai di cosa sto parlando).

2. Assicurati che il programma Skype sia chiuso (anche dalla barra delle applicazioni), perché anche loro entrano in conflitto sulle porte, puoi eseguire Skype dopo aver avviato XAMPP.

Posiziona la cartella del tuo progetto in htdocs: default: "C:\xampp\htdocs\NomeCartellaProgetto"

Apri il browser, digita: localhost/phpmyadmin, crea un database vuoto, importa il tuo file project_database.sql, apri la cartella del tuo progetto e modifica il file di configurazione del progetto per connetterti al localhost di MySQL: configurazioni predefinite sono: host: "localhost" o "127.0.0.1", username: "root", password: "" (Stringa_Vuota), nome database: "nomedb_che_hai_scelto_in_phpmyadmin"

2. Node.js su Windows

Devi scaricare una versione specifica di Node.js per Windows da qui: https://nodejs.org/en/blog/release/v12.13.0/ seleziona (Windows 64-bit Installer), quindi scarica, Avanti, Avanti, Avanti e Fine.

Non stiamo seguendo gli aggiornamenti di nodejs ogni mese, quindi se desideri testarlo da solo, puoi scaricare l'ultima versione di node.js da qui: https://nodejs.org/en/download/ scegli (Windows Installer (.msi)), scarica ed esegui, Avanti, Avanti, Avanti e Fine.

PS: Scaricare l'ultima versione di Node.js Engine potrebbe richiedere l'aggiornamento dei moduli di ASST, quindi se sai cosa stai facendo e hai tempo, e vuoi contribuire, puoi segnalare la tua ultima versione di node.js e aggiornare i moduli e chiederci di eseguire il commit sul repo se funziona.

3. Eseguire ASST su Windows

Scarica ed estrai il progetto ASST da questa pagina github, rinomina la cartella in "ASST" solo, non "ASST-main", sposta la cartella ASST accanto al tuo progetto web da scansionare, default: "C:\xampp\htdocs\ASST"

Configurazioni:

1. Apri config.js all'interno della cartella ASST e imposta il nome della cartella del tuo progetto web da scansionare nella variabile DEFAULT_PROJECT_PATH_TO_SCAN.

2. Apri config_php_lang.js all'interno della cartella ASST: se usi MySQL devi impostare le variabili come spiegato nel file, se non usi MySQL, imposta semplicemente la variabile IS_DBMS_USED su false e ignora il resto, nota che PHP_EXE_BIN_PATH è impostato sulla posizione predefinita di XAMPP, quindi modificalo se usi un binario PHP diverso o una posizione XAMPP diversa.

PS: I due file di configurazione sono ben spiegati su cosa modificare per adattarli al tuo progetto.

Fai doppio clic su ASST.bat per eseguirlo. Se viene bloccato da Windows Defender Smart Screen, permettilo cliccando su Ulteriori informazioni e poi Esegui comunque, oppure puoi eseguirlo usando il comando CMD.

Esegui questo comando una volta per installare node_modules per questo progetto:

$ cd C:\xampp\htdocs\ASST && npm install

comando CMD predefinito per eseguire ASST:

$ node C:\xampp\htdocs\ASST\main.js

B) Installare ASST su Linux (Ubuntu)

Video completo su come eseguire ASST su Ubuntu: https://youtu.be/XrAB8_BHxfo

1. XAMPP su Ubuntu

Usando un browser web, apri questo link: https://www.apachefriends.org/download.html e cerca la sezione "XAMPP for Linux", scegli la versione PHP adatta al tuo progetto e scaricala, se non sai quale versione scegliere, scegli la prima. Oppure puoi scaricare XAMPP tramite terminale usando il comando "wget" (strumento), ma dovrai avere e conoscere l'url corretto della versione da scaricare.

Ora lavorando in Terminale:

$ cd Downloads

$ ls

Dovresti vedere il file di installazione di XAMPP che hai scaricato.

$ sudo chmod +x xampp-linux-*

$ sudo ./xampp-linux-*

Aspetta un secondo che l'installazione si avvii, quindi segui le istruzioni. Dopo aver scaricato e installato XAMPP, eseguilo.

$ sudo /opt/lampp/lampp start

Posiziona la cartella del tuo progetto in htdocs: default: "/opt/lampp/htdocs/NomeCartellaProgetto"

Apri il browser, digita: localhost/phpmyadmin, crea un database vuoto, importa il tuo file project_database.sql, apri la cartella del tuo progetto e modifica il file di configurazione del progetto per connetterti al localhost di MySQL: configurazioni predefinite sono: host: "localhost" o "127.0.0.1", username: "root", password: "" (Stringa_Vuota), nome database: "nomedb_che_hai_scelto_in_phpmyadmin"

2. Node.js su Ubuntu

$ sudo apt-get install nodejs -y

$ sudo apt-get install npm -y

Devi impostare una versione specifica di Node.js per far funzionare ASST senza problemi.

$ sudo npm install n -g

$ sudo n 12.13.0

Non stiamo seguendo gli aggiornamenti di nodejs ogni mese, quindi se desideri testarlo da solo, puoi ignorare gli ultimi due comandi di installazione di "n" usando npm

PS: Utilizzare l'ultima versione di Node.js Engine potrebbe richiedere l'aggiornamento dei moduli di ASST, quindi se sai cosa stai facendo e hai tempo, e vuoi contribuire, puoi segnalare la tua ultima versione di node.js e aggiornare i moduli e chiederci di eseguire il commit sul repo se funziona.

3. Eseguire ASST su Ubuntu

Scarica ed estrai il progetto ASST da questa pagina github, usando un browser, wget o git, rinomina la cartella in "ASST" solo, non "ASST-main", sposta la cartella ASST accanto al tuo progetto web da scansionare, default: "/opt/lampp/htdocs/ASST"

Configurazioni:

1. Apri config.js all'interno della cartella ASST usando nano, vim o un editor di testo e imposta il nome della cartella del tuo progetto web da scansionare nella variabile DEFAULT_PROJECT_PATH_TO_SCAN.

2. Apri config_php_lang.js all'interno della cartella ASST: se usi MySQL devi impostare le variabili come spiegato nel file, se non usi MySQL, imposta semplicemente la variabile IS_DBMS_USED su false e ignora il resto, nota che PHP_EXE_BIN_PATH è impostato sulla posizione predefinita di XAMPP, quindi modificalo se usi un binario PHP diverso o una posizione XAMPP diversa.

PS: I due file di configurazione sono ben spiegati su cosa modificare per adattarli al tuo progetto.

Esegui questo comando una volta per installare node_modules per questo progetto:

$ cd /opt/lampp/htdocs/ASST && sudo npm install

Per eseguire ASST, comando predefinito:

$ sudo node /opt/lampp/htdocs/ASST/main.js

C) Installare ASST su MacOSX

Video completo su come eseguire ASST su MacOSX: https://youtu.be/IThRZEQVa7M

1. XAMPP su MacOSX

Usando un browser web, apri questo link: https://www.apachefriends.org/download.html e cerca la sezione "XAMPP for OSX", scegli la versione PHP adatta al tuo progetto e scaricala, se non sai quale versione scegliere, scegli la prima.

Apri la cartella Downloads e fai doppio clic sul file xampp-osx-.dmg che hai scaricato. poi installa: Avanti, Avanti, Avanti, Fine.

Dopo l'installazione, apri la cartella Applicazioni usando Finder e apri la cartella XAMPP, clicca su manager-osx.app per aprire il Pannello di Controllo di XAMPP, clicca sulla scheda Manage Servers quindi clicca su Start All.

Posiziona la cartella del tuo progetto in htdocs:

1. Usando Finder, apri Applicazioni quindi naviga nella cartella XAMPP poi htdocs, e posiziona lì il tuo progetto.
2. Puoi usare il terminale: posizione predefinita /Applications/XAMPP/htdocs/NomeCartellaProgetto

Apri il browser, digita: localhost/phpmyadmin, crea un database vuoto, importa il tuo file project_database.sql, apri la cartella del tuo progetto e modifica il file di configurazione del progetto per connetterti al localhost di MySQL: configurazioni predefinite sono: host: "localhost" o "127.0.0.1", username: "root", password: "" (Stringa_Vuota), nome database: "nomedb_che_hai_scelto_in_phpmyadmin"

2. Node.js su MacOSX

Ci sono diversi modi per scaricare e installare Node.js su MacOSX specificati qui: https://nodejs.org/en/download/package-manager/#macos

Abbiamo usato: brew (sistema di pacchetti), Apri Terminale:

$ sudo /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install.sh)"

$ sudo brew install node

Devi impostare una versione specifica di Node.js per far funzionare ASST senza problemi.

$ sudo npm install n -g

$ sudo n 12.13.0

Non stiamo seguendo gli aggiornamenti di nodejs ogni mese, quindi se desideri testarlo da solo, puoi ignorare gli ultimi due comandi di installazione di "n" usando npm

PS: Utilizzare l'ultima versione di Node.js Engine potrebbe richiedere l'aggiornamento dei moduli di ASST, quindi se sai cosa stai facendo e hai tempo, e vuoi contribuire, puoi segnalare la tua ultima versione di node.js e aggiornare i moduli e chiederci di eseguire il commit sul repo se funziona.

3. Eseguire ASST su MacOSX

Scarica ed estrai il progetto ASST da questa pagina github, usando un browser o git, rinomina la cartella in "ASST" solo, non "ASST-main", sposta la cartella ASST accanto al tuo progetto web da scansionare, default: "/Applications/XAMPP/htdocs/ASST"

Configurazioni:

1. Apri config.js all'interno della cartella ASST usando un editor di testo, inserisci il nome della cartella del tuo progetto web da scansionare nella variabile DEFAULT_PROJECT_PATH_TO_SCAN.

2. Apri config_php_lang.js all'interno della cartella ASST: se usi MySQL devi impostare le variabili come spiegato nel file, se non usi MySQL, imposta semplicemente la variabile IS_DBMS_USED su false e ignora il resto, nota che PHP_EXE_BIN_PATH è impostato sulla posizione predefinita di XAMPP, quindi modificalo se usi un binario PHP diverso o una posizione XAMPP diversa.

PS: I due file di configurazione sono ben spiegati su cosa modificare per adattarli al tuo progetto.

Esegui questo comando una volta per installare node_modules per questo progetto:

$ cd /Applications/XAMPP/htdocs/ASST && sudo npm install

Per eseguire ASST, comando predefinito:

$ sudo node /Applications/XAMPP/htdocs/ASST/main.js

Ringraziamenti Speciali

Ringraziamenti Speciali a:

1. Assist. Prof. Dr. Ece Gelal Soyak: https://scholar.google.com.tr/citations?user=w-RBj5QAAAAJ&hl=en
2. Assist. Prof. Dr. Selçuk Baktır: https://scholar.google.com/citations?user=iwR7YF8AAAAJ&hl=en
3. Assist. Prof. Dr. Özgül Küçük: https://scholar.google.com/citations?user=qJJSkrAAAAAJ&hl=en
4. OWASP Foundation

Per aver reso possibile questo toolkit fornendo la loro guida e aiuto.