WSSAT - Ferramenta de Avaliação de Segurança de Serviços Web

WSSAT é uma ferramenta de código aberto para digitalização de segurança de serviços web que fornece um ambiente dinâmico para adicionar, atualizar ou excluir vulnerabilidades apenas editando seus arquivos de configuração. Esta ferramenta aceita uma lista de endereços WSDL como arquivo de entrada e, para cada serviço, realiza testes estáticos e dinâmicos contra as vulnerabilidades de segurança. Ela também realiza controles de divulgação de informações. Com esta ferramenta, todos os serviços web podem ser analisados de uma só vez e a avaliação geral de segurança pode ser visualizada pela organização.

Os objetivos do WSSAT são permitir que as organizações:

• Realizem a análise de segurança de seus serviços web de uma só vez
• Visualizem a avaliação geral de segurança com relatórios
• Reforcem a segurança de seus serviços web

WSSAT 2.0

Foi adicionado suporte a digitalização REST API com a mesma filosofia de ambiente dinâmico de gerenciamento de vulnerabilidades dos serviços SOAP. ChangeLog

As principais capacidades do WSSAT incluem:

Testes Dinâmicos:

• Comunicação Insegura - SSL Não Utilizado
• Método de Serviço Não Autenticado
• Injeção de SQL Baseada em Erro
• Cross Site Scripting
• Bomba XML
• Ataque de Entidade Externa - XXE
• Injeção XPATH
• Método HTTP OPTIONS
• Cross Site Tracing (XST)
• Cabeçalho X-XSS-Protection Ausente
• Mensagem de Falha SOAP Detalhada

Análise Estática:

• Esquema XML Fraco: Ocorrências Ilimitadas
• Esquema XML Fraco: Namespace Indefinido
• Política de Segurança WS Fraca: Transporte Inseguro
• Política de Segurança WS Fraca: Proteção Insuficiente do Token de Suporte
• Política de Segurança WS Fraca: Tokens Não Protegidos

Vazamento de Informações:

• Divulgação de informações do servidor ou tecnologia

Os principais módulos do WSSAT são:

• Parser (Analisador)
• Carregador de Vulnerabilidades
• Analisador/Atacante
• Logger (Registrador)
• Gerador de Relatórios

Instalação e Uso:

• Instalação
• Uso

Para mais Ajuda

A principal diferença do WSSAT é criar um ambiente dinâmico de gerenciamento de vulnerabilidades em vez de embutir as vulnerabilidades no código.

Este projeto foi iniciado como Projeto de Semestre na Universidade Técnica do Oriente Médio (METU), programa de mestrado em Gestão de Software.

Doação:

O WSSAT é um projeto de código aberto e sua doação o tornará melhor:

Bitcoin (BTC): 19qsms2YnaN6CY7tFsWpqwAtQyV7QFhGs4

Ether (ETH): 0x08b543C5B2398999e8d03BC77b76329d832B2f82

Bitcoin Cash (BCH): qps07ker5c2t3h9355taueu0u83yxfw4jye6s4na2e