Scanner de segurança SKIPFISH do Google para sites [Artigo]
[ Hits: 25.734 ]
Breve texto sobre ameaças na internet e sites.
Percebemos que o volume de ataques a sites da web foi multiplicado no decorrer dos anos e esse valor só é incrementado.
Alguns tipos de ataques mais comuns em sites:
Aos aficionados por segurança, não se acanhem, insiram mais tipos de ataques, eu somente mencionarei alguns, é claro que são dezenas, mas não é o ponto principal do artigo.
Encontrado normalmente em aplicações web que ativam ataques maliciosos ao injetarem script dentro das páginas web vistas por outros usuários, pode ser usado pelo individuo para escapar aos controles de acesso que usam a mesma política de origem.
Um bom artigo para mais informações é o do Luiz Vieira, caso queiram mais detalhes:
Este é um termo genérico para descrever pequenos utilitários ou exemplos de código que podem ser usados para explorar vulnerabilidades específicas. Podendo ser utilizado de forma simples ou composta em vírus, cavalos de tróia, ferramentas de detecção de vulnerabilidades e outros tipos de programas.
Embora os trojans sejam mais comuns no Windows, existem também trojans para Linux e outros sistemas. No caso do Linux, o tipo mais perigoso são os rootkits, softwares que exploram um conjunto de vulnerabilidades conhecidas para tentar obter privilégios de root na máquina afetada.
Diferente dos ataques baseados na exploração de brechas de segurança, os ataques de phishing utilizam engenharia social para tentar levar o usuário a revelar informações confidenciais, tais como senhas de banco, números de cartão de crédito, ou mesmo transferir fundos diretamente.
Novamente o Google!
Skipfish do Google
Uma breve descrição, preferi manter do próprio site do criador, está em inglês no seu formato original, mas pra vocês está em português:
Skipfish é uma web ferramenta de reconhecimento de segurança. Ela prepara um mapa do site através de uma pesquisa recursiva e de consultas a dicionário baseado em testes.
O relatório final gerado pela ferramenta é utilizado para servir como base para o profissional web avaliar a segurança dos aplicativos, de acordo com a documentação do scanner.
No entanto o scanner Skipfish não pretende ser um substituto de scanners comerciais.
O Google diz que o scanner não satisfaz muitos dos critérios de avaliação definidos pela Web Application Security Consortium for Scanners.
Pode ser comparado a ferramentas conhecidas como Nmap e Nessus.
Com a promessa de ser rápido no gatilho, o software foi escrito em C. Segundo o autor, ele pode processar cerca de 2.000 requisições HTTP por segundo. Há relatos de (melhor dizendo tarados) que conseguiram marcas de 6, 7, 8 mil requisições por segundo, haja processamento.
Ele pode identificar diversas brechas, incluindo vulnerabilidades para ataques cross-site scripting (XSS), SQL e XML injection, entre outros.
O relatório gerado pode ser analisado sem muita dificuldade para quem entende um pouco da área.
Ele deve rodar em Linux, FreeBSD, Mac OS X e Windows (por meio do Cygwin), e está hospedado no Google Code:
Download: http://code.google.com/p/skipfish/downloads/list
Alta performance: Escrito em puro C, altamente otimizado para o HTTP, usando o mínimo de CPU, consegue facilmente atingir 2000 requisições por segundo.
Fácil de utilizar: suporta uma variedade de frameworks web.
Alta qualidade: baixo índice de falsos positivos, controles de segurança diferenciais, capaz de detectar uma série de falhas sutis, incluindo vetores de injeção (blind injection vectors).
Funciona em diversas plataformas, tais como: Linux, FreeBSD 7.0+, MacOS X, e Windows (Cygwin).
Ele se baseia nos seus testes e relatórios em 3 níveis básicos. Não irei traduzir cada um dos tipos de testes e ataques, pois os termos são de origem americana, e portanto fica até mais fácil pesquisar posteriormente tudo sobre a técnica ou tecnologia.