WebSec

OWASP ZAP 1.3.0

OWASP Zed Attack Proxy Project - OWASPペネトレーションテスト用のProxyツール。機能としては自動スキャナ機能など以下のようなものがあります。 Intercepting Proxy Automated scanner Passive scanner Brute Force scanner Spider Fuzzer Port scanner D…

Burp Suite 1.4

Burp SuiteBurp Suiteがバージョンアップしました。IPv6対応や文字コードの自動認識機能などが付いたようです。 Blogによると追加された機能は以下の通りです。 This is a major upgrade with numerous new features, including: The ability to compare sit…

SamuraiWTF 0.9.5

年末にWebペネトレーションテスト向けのLive CDディストリビューションであるSamurai Web Testing Frameworkがバージョンアップしていたんですね。あとでChangeLogを見てみておくか。

OWASP Application Security Verification Standard

OWASPからASVS(Application Security Verification Standard)と呼ばれる文書がでていたのを知ったのでメモしておきます。 OWASP ASVSは検査と報告の要件を設定し、4階層にレベル分けしています。ASVSでは以下の項目に対する検査に関する詳細要件を定義してい…

Netsparker Community Edition

NetsparkerというWebアプリケーション脆弱性スキャナがCommunity Editionという無料版を出したみたいなので、暇があればさわってみようと思いつつ手が出ずに放置になっています。 試用した方がメモを載せていますが、結構おもしろそう。 Webアプリケーション…

skipfish

Google製のActive Webアプリケーションスキャナ。コマンドラインのスキャナだが、自動的にクロールしてSQLインジェクションやXSSを検知できるそうだ。Cで書かれているから高速だとか、使い方が簡単とかの特徴がある。 手元のCentOSでコンパイルしてみたとこ…

SamuraiWTF 0.8

Webペネトレーションテスト向けのLive CDディストリビューションであるSamurai Web Testing Frameworkがバージョンアップしています。サイズがCDサイズから1GBくらい増えています。v0.7からの変更点は以下のCHANGELOGのとおり。 - v0.8 03/05/2010 - Used Ra…

Burp Suite 1.3

Burp Suiteがバージョンアップしました。free editionの追加機能としては、professional editionでversion 1.2以降追加された機能が反映されているようです。 追加された機能は以下の通りです。 New features in Burp Suite free edition include: A new mes…

fimap v07

Webアプリケーションにローカルもしくはリモートファイルインクルードの脆弱性があるかチェックするツール。Pythonで書かれている。

Damn Vulnerable Web App (DVWA) 1.0.6

PHPで書かれた脆弱性があるWebアプリケーション。今回のバージョンアップはバグフィックスが中心のようです。 Whats new? Mainly bug fixes and some tweaks here and there. なお、DVWA 1.0.6はSamuraiWTF 0.8に組み込まれる予定だそうです。

Damn Vulnerable Web App (DVWA) 1.0.5

PHPで書かれた脆弱性があるWebアプリケーション。Change Logには次のように書かれている。 Complete re-code. Complete re-design. CSRF vulnerability. Stored XSS vulnerability. Full Path Disclosure vulnerability. Login page. Sessions. Many bug fix…

SamuraiWTF 0.7

Webペネトレーションテスト向けのLive CDディストリビューションであるSamurai Web Testing Frameworkがバージョンアップしています。v0.6からの変更点は以下のCHANGELOGのとおり。 - v0.7 08/01/2009 - Installed Cewl from dijininja.org -- Kevin Johnson…

Public SSL Server Database

SSL Labsが公開されているSSLサーバのセキュリティをレイティングするサービスを行っているようです。どのようにレイティングしているかは、SSL Server Rating Guideに記載されています。このGuideのバージョンはv 2009 draft 10となっていますが、よくまと…

WAFW00F

OWASP EuropeでWAFを検知するツール(WAFW00F)とWAFの穴を見つけて迂回する(WAFFUN)の2つのツールが発表されたようで、とりあえずWAFW00Fを試してみました。 自分が管理しているさくらのレンタルサーバに向けて実行してみました。 WAFの設定はONなんだけど、N…

Damn Vulnerable Web App (DVWA) 1.0.3

PHPで書かれた脆弱性があるWebアプリケーション。次の6つの操作を体験でき、ソースを表示したり、ヘルプが充実しているので、Webアプリケーションセキュリティを勉強したい人にはいい教材だと思います。 Brute Force Command Execution File Inclusion SQL I…

SamuraiWTF 0.6

Webペネトレーションテスト向けのLive CDディストリビューションであるSamuraiWTFがバージョンアップしています。v0.5からの変更点は以下のとおり。 環境に関する問題の修正 w3afやBeEFなどのツールの更新 Javaベースのツールのパフォーマンス改善 VMware用…

moth

脆弱性があるWebアプリケーション、スクリプトが動くLinuxサーバのVMwareイメージ。w3af projectのリーダがWeb Vulnerability Scanners Comparisonにインスパイアされて、Webアプリケーションセキュリティスキャナのテストなどに使えるtestbed目的で作ったよ…

SamuraiWTF 0.5

Webペネトレーションテスト向けのLive CDディストリビューションであるSamuraiWTFがバージョンアップしています。v0.4からの変更点は以下のとおり。 Ubuntu 9.04ベースにアップグレード w3af, XSS Me, SQL Inject Me, Access Me, Header Spy, BeEFをバージョ…

世間の認識と脅威レベルのギャップ――XSSは本当に危ないか?

@ITより。XSSは世間でいわれているほど、危なくないんじゃない?という記事。 リスクを発生頻度と影響度に応じて対策の優先度をつけたり、場合によってはリスクを保有するのもいいのでは?という意見については私も同感です。ただ、XSSに関する認識のギャッ…

Safari4でhttponly

MicrosoftがIE6 SP1で実装したCookieのhttponly属性ですが、Safariでhttponlyをみて今のブラウザがどこまで対応しているか気になって調べてみました。 Safari 3.xではhttponlyがサポートされていないですが、Safari 4 betaではサポートされているのが確認で…

SamuraiWTF 0.4

Webペネトレーションテスト向けのLive CDディストリビューションであるSamuraiWTFがバージョンアップしています。v0.3からの変更点は以下のとおり。 Ubuntu 8.10ベースにアップグレード w3af, Burp Suiteをバージョンアップ XSS Me, SQL Inject Me, Access M…

OWASP Testing Guide V3.0

OWASPによるWebアプリケーションテストガイドのv3.0がリリースされてます。v2.0からの変更として、サブカテゴリが8から10に増えています。 OWASP Testing Project (OWASP)

Burp Suite 1.2

Burp Suiteがバージョンアップしてますね。Targetタブがついて、Target site mapが表示できるようになったり、検索機能がついたり使いやすくなっているみたい。version 1.1から1.2の機能追加は以下の通り。 ・Site map showing information accumulated abou…

安全なWebサイト利用の鉄則

産総研から利用手順をユーザに説明する方、サイトを設計する方向けの安全なWebサイト利用の鉄則がまとめられています。

Webアプリケーションセキュリティ関係

先日行われた2つのイベントについてのレポートをみると、サニタイズ(無害化)という言葉についてそれぞれ似たような事を述べられてますね。 セキュアなWebアプリ実現のために本来やるべきことは? - 高木浩光氏 (MYCOM PCWEB) 情報セキュリティEXPO - ネガ…

OWASP Europe 2005

先月行われたカンファレンス資料が出ているのでメモ。 OWASP Europe 2005 conference slides