概要

ADAPT は、Web アプリケーション向けの自動動的アプリケーション侵入テスト (Automated Dynamic Application Penetration Testing) を実行するツールです。ペネトレーションテストにおける精度、速度、および信頼性を高めるために設計されています。ADAPT は、業界標準の OWASP Top 10 の複数の脆弱性を自動的にテストし、これらの潜在的な脆弱性に基づいて分類された結果を出力します。また、OWASP ZAP の機能を利用して、自動アクティブスキャン、パッシブスキャン、および自動スパイダリングを実行します。ADAPT ツールの柔軟な性質により、これらの機能とテストはすべて設定ファイルから有効または無効にできます。テストと設定の詳細については、ADAPT ウィキ. を参照してください。

動作の仕組み

ADAPT は Python を使用して自動化フレームワークを作成し、OWASP ZAP や Nmap などの業界標準ツールを活用して、再現可能で適切に設計された手順を予想される結果とともに実行し、Web アプリケーション内で検出された脆弱性をリストアップしたわかりやすいレポートを生成します。

自動テスト:

* OTG-IDENT-004 – アカウント列挙
* OTG-AUTHN-001 - 暗号化チャネルを介した認証情報の転送のテスト
* OTG-AUTHN-002 – デフォルト認証情報
* OTG-AUTHN-003 - ロックアウトメカニズムの脆弱性のテスト
* OTG-AUTHZ-001 – ディレクトリトラバーサル
* OTG-CONFIG-002 - アプリケーションプラットフォーム設定のテスト
* OTG-CONFIG-006 – HTTP メソッドのテスト
* OTG-CRYPST-001 - 弱い SSL/TLS 暗号、不十分なトランスポート層保護のテスト
* OTG-CRYPST-002 - Padding Oracle のテスト
* OTG-ERR-001 - エラーコードのテスト
* OTG-ERR-002 – スタックトレースのテスト
* OTG-INFO-002 – Web サーバーのフィンガープリンティング
* OTG-INPVAL-001 - 反射型クロスサイトスクリプティングのテスト
* OTG-INPVAL-002 - 保存型クロスサイトスクリプティングのテスト
* OTG-INPVAL-003 – HTTP 動詞改ざん
* OTG-SESS-001 - セッション管理スキーマのテスト
* OTG-SESS-002 – Cookie 属性

プラグインのインストール

1. 詳細なインストール手順。

開発者とコントリビューター向け

ADAPT はコミュニティのコラボレーションを促進するオープンソースソフトウェアです。コラボレーションには、https://github.com/secdec/adapt から ADAPT リポジトリをクローンする必要があります。潜在的なコントリビューターは UNIX 環境で ADAPT をクローンすることを推奨します。Windows 環境でクローンすると、autocrlf = true などの特定の設定が構成されている場合、改行コードが乱れる可能性があります。Windows ベースの環境での作業時にこれが発生しないようにするには、グローバルの git.config を見つけて autocrlf を無効にしてください。

ライセンス

Apache-2.0 ライセンスの下で提供されています。