WSSAT - Инструмент оценки безопасности веб-сервисов

WSSAT — это инструмент с открытым исходным кодом для сканирования безопасности веб-сервисов, который предоставляет динамическую среду для добавления, обновления или удаления уязвимостей простым редактированием его конфигурационных файлов. Этот инструмент принимает список WSDL-адресов в качестве входного файла и для каждого сервиса выполняет как статические, так и динамические тесты на наличие уязвимостей безопасности. Он также осуществляет контроль раскрытия информации. С помощью этого инструмента все веб-сервисы можно проанализировать за один раз, а общую оценку безопасности может увидеть организация.

Цели WSSAT — позволить организациям:

• Выполнять анализ безопасности своих веб-сервисов за один раз
• Видеть общую оценку безопасности с помощью отчетов
• Укреплять свои веб-сервисы

WSSAT 2.0

REST API поддержка сканирования была добавлена с той же философией динамического управления уязвимостями, что и для SOAP-сервисов. ChangeLog

Основные возможности WSSAT:

Динамическое тестирование:

• Небезопасная связь — SSL не используется
• Неаутентифицированный метод сервиса
• SQL-инъекция на основе ошибок
• Межсайтовый скриптинг (XSS)
• XML-бомба
• Атака на внешние сущности (XXE)
• XPATH-инъекция
• HTTP-метод OPTIONS
• Межсайтовое отслеживание (XST)
• Отсутствие заголовка X-XSS-Protection
• Подробное сообщение об ошибке SOAP

Статический анализ:

• Слабая XML-схема: неограниченные вхождения
• Слабая XML-схема: неопределённое пространство имён
• Слабая WS-SecurityPolicy: небезопасная передача
• Слабая WS-SecurityPolicy: недостаточная защита подтверждающего токена
• Слабая WS-SecurityPolicy: незащищённые токены

Утечка информации:

• Раскрытие информации о сервере или технологии

Основные модули WSSAT:

• Парсер
• Загрузчик уязвимостей
• Анализатор/Атакующий
• Логгер
• Генератор отчетов

Установка и использование:

• Установка
• Использование

Для получения дополнительной помощи

Главное отличие WSSAT — создание динамической среды управления уязвимостями вместо встраивания уязвимостей в код.

Этот проект был начат в качестве курсового проекта в Ближневосточном техническом университете (METU) в магистерской программе «Управление программным обеспечением».

Пожертвования:

WSSAT — это проект с открытым исходным кодом, и ваше пожертвование поможет сделать его лучше:

Bitcoin (BTC): 19qsms2YnaN6CY7tFsWpqwAtQyV7QFhGs4

Ether (ETH): 0x08b543C5B2398999e8d03BC77b76329d832B2f82

Bitcoin Cash (BCH): qps07ker5c2t3h9355taueu0u83yxfw4jye6s4na2e