WSSAT - Webサービスセキュリティ評価ツール

WSSATは、オープンソースのWebサービスセキュリティスキャンツールであり、設定ファイルを編集するだけで脆弱性を追加、更新、削除できる動的な環境を提供します。このツールはWSDLアドレスリストを入力ファイルとして受け入れ、各サービスに対して静的テストと動的テストの両方をセキュリティ脆弱性に対して実行します。また、情報漏洩の制御も行います。 このツールを使えば、すべてのWebサービスを一度に分析し、組織全体のセキュリティ評価を確認できます。

WSSATの目的は、組織が以下を実現できるようにすることです。

• Webサービスのセキュリティ分析を一度に実行する
• レポートで全体的なセキュリティ評価を確認する
• Webサービスを強化する

WSSAT 2.0

SOAPサービスと同じ動的脆弱性管理環境の哲学でREST APIスキャンサポートが追加されました。ChangeLog

WSSATの主な機能は以下のとおりです。

動的テスト:

• 安全でない通信 - SSL未使用
• 認証されていないサービスメソッド
• エラーベースのSQLインジェクション
• クロスサイトスクリプティング
• XML爆弾
• 外部エンティティ攻撃 - XXE
• XPATHインジェクション
• HTTP OPTIONSメソッド
• クロスサイトトレーシング (XST)
• X-XSS-Protectionヘッダーの欠落
• 冗長なSOAPフォールトメッセージ

静的解析:

• 弱いXMLスキーマ: 制限なしの出現
• 弱いXMLスキーマ: 未定義の名前空間
• 弱いWS-SecurityPolicy: 安全でないトランスポート
• 弱いWS-SecurityPolicy: 不十分なサポートトークン保護
• 弱いWS-SecurityPolicy: 保護されていないトークン

情報漏洩:

• サーバーまたはテクノロジー情報の開示

WSSATの主なモジュール:

• パーサー
• 脆弱性ローダー
• アナライザー/アタッカー
• ロガー
• レポートジェネレーター

インストールと使用方法:

• インストール
• 使用方法

詳細はヘルプをご覧ください。

WSSATの主な違いは、脆弱性をコードに埋め込む代わりに、動的な脆弱性管理環境を作成することです。

このプロジェクトは、中東工科大学（METU）のソフトウェア管理修士プログラムの学期プロジェクトとして開始されました。

寄付:

WSSATはオープンソースプロジェクトです。あなたの寄付により、より良いものになります。

Bitcoin (BTC): 19qsms2YnaN6CY7tFsWpqwAtQyV7QFhGs4

Ether (ETH): 0x08b543C5B2398999e8d03BC77b76329d832B2f82

Bitcoin Cash (BCH): qps07ker5c2t3h9355taueu0u83yxfw4jye6s4na2e