WSSAT - 웹 서비스 보안 평가 도구

WSSAT는 구성 파일을 편집하여 취약점을 추가, 업데이트 또는 삭제할 수 있는 동적 환경을 제공하는 오픈 소스 웹 서비스 보안 스캐닝 도구입니다. 이 도구는 WSDL 주소 목록을 입력 파일로 받아 각 서비스에 대해 보안 취약점에 대한 정적 및 동적 테스트를 모두 수행합니다. 또한 정보 노출 제어도 수행합니다. 이 도구를 통해 모든 웹 서비스를 한 번에 분석하고 조직 전체의 보안 평가를 확인할 수 있습니다.

WSSAT의 목표는 조직이 다음을 할 수 있도록 하는 것입니다:

• 한 번에 웹 서비스 보안 분석 수행
• 보고서와 함께 전체 보안 평가 확인
• 웹 서비스 강화

WSSAT 2.0

REST API 스캐닝 지원이 추가되었으며, SOAP 서비스와 동일한 동적 취약점 관리 환경 철학을 따릅니다. 변경 로그

WSSAT의 주요 기능은 다음과 같습니다:

동적 테스트:

• 안전하지 않은 통신 - SSL 미사용
• 인증되지 않은 서비스 메서드
• 오류 기반 SQL 인젝션
• 크로스 사이트 스크립팅 (XSS)
• XML 폭탄
• 외부 엔터티 공격 - XXE
• XPATH 인젝션
• HTTP OPTIONS 메서드
• 크로스 사이트 트레이싱 (XST)
• X-XSS-Protection 헤더 누락
• 상세 SOAP 오류 메시지

정적 분석:

• 취약한 XML 스키마: 무제한 발생
• 취약한 XML 스키마: 정의되지 않은 네임스페이스
• 취약한 WS-SecurityPolicy: 안전하지 않은 전송
• 취약한 WS-SecurityPolicy: 불충분한 지원 토큰 보호
• 취약한 WS-SecurityPolicy: 보호되지 않은 토큰

정보 유출:

• 서버 또는 기술 정보 노출

WSSAT의 주요 모듈은 다음과 같습니다:

• 파서
• 취약점 로더
• 분석기/공격기
• 로거
• 보고서 생성기

설치 및 사용:

• 설치
• 사용법

자세한 도움말

WSSAT의 주요 차별점은 취약점을 코드에 내장하는 대신 동적 취약점 관리 환경을 만든다는 것입니다.

이 프로젝트는 중동 공과대학교(METU) 소프트웨어 관리 석사 프로그램의 학기 프로젝트로 시작되었습니다.

기부:

WSSAT는 오픈 소스 프로젝트이며, 여러분의 기부가 이 프로젝트를 더욱 발전시킵니다:

Bitcoin (BTC): 19qsms2YnaN6CY7tFsWpqwAtQyV7QFhGs4

Ether (ETH): 0x08b543C5B2398999e8d03BC77b76329d832B2f82

Bitcoin Cash (BCH): qps07ker5c2t3h9355taueu0u83yxfw4jye6s4na2e