Архив метки: tools

How Dell tests their notebooks

Testing is not only about software. It’s about hardware as well. We may await high reliability from our devices, especially if it’s high-end ones. It should have no damage and continue to work when we accidentally drop it, spill a cup with hot coffee or even sit on it.

Big HW vendors, of course, have their own hardware testlabs where they test all similar cases before mass production starts, and adjust design & materials accordingly. They use various mechanical tools to simulate load, drops, spills, etc. plus monitoring devices to collect results.

Watch these incredible videos how Dell do HW testing of their notebooks.

https://www.youtube.com/watch?v=zqpKfZGwGRE&w=580&h=326

Обзор сканера уязвимостей Vega

vega-transparent_200pxAuthor: Subgraph
Licence: Open Source / Free
Platforms: Windows, Linux, Mac

Vega — довольно мощный, универсальный сканер уязвимостей и сниффер пакетов. Интерфейс достаточно простой и не перегружен функционалом. Сканер позволяет проводить автоматический аудит сайта на наличие наиболее распространённых уязвимостей (OWASP Top 10), автоматически ранжирует найденные уязвимости по серьёзности и отображает исчерпывающую информацию (на какой страничке найдена уязвимость, её полное описание и используемый эксплоит, как исправить, отправленный/полученный TCP пакет). Из минусов — разработчики довольно медленно развивают продукт и на данный момент (07/2016) по-прежнему не реализована выгрузка результатов во внешние форматы (отчёты).

Vega, как любой приличный сканер, поддерживает работу с сайтами которые требуют аутентификацию и это сильно расширяет возможности сканирования, если у нас есть credentials или хотя бы cookies пользователя тестируемого сайта. Собственно, давайте начнём с того, что воспользуемся встроенным сниффером и перехватим наши же cookies для сайта-тренажёра WebGoat.

Читать далее

Обзор сканера уязвимостей OpenVAS

OpenVAS — Мощный и, что немаловажно, бесплатный сканер для тестирования защищённости веб-приложений и серверов. Обладает впечатляющим функционалом, объединяет в себе как встроенные возможности сканирования (обновляемые словари сигнатур эксплоитов NVT/SCAP/CERT), так и использование общепризнанных утилит типа nmap.

Если вы используете Kali Linux 2, OpenVAS уже входит в состав сборки, но перед первым использованием рекомендуется обновить пакеты в системе (apt-get update, apt-get dist-upgrade) и провести инициализацию сканера (Applications->Vulnerability Analysis->openvas initial setup). В консоли, где у вас будет проходить инициализация, обратите внимание на строку «User created with password..», используйте логин admin и сгенерированный пароль (который может выглядеть как длинная хеш-строка) для доступа в панель управления сканером:
OpenVAS_vulnerability_scanner_600px

Пользоваться сканером просто — в разделе Scan Management (либо на главной странице после запуска) вводите адрес сканируемого хоста и жмёте Start Scan. Можно оставить на ночь, сканер весьма неторопливый. Хм, что-то нашлось 🙂
OpenVAS_found_issues_630px

Обзор сканера уязвимостей Skipfish

Авторы: Google (Michael Zalewski, Niels Heinen, Sebastian Roschke, etc.)
Лицензия: Apache 2.0 (бесплатно)sf_name
Страница проекта: code.google.com/p/skipfish/
Последняя версия: 2.10b (Dec 4, 2012) / входит в сборку Kali Linux, отдельно ставить не надо.
Аналоги: Nikto, Websecurify, Netsparker, w3af, Arachni

Согласно описанию разработчика, утилита предназначена для проведения разведки на предмет защищённости тестируемого веб-приложения. Она создаёт интерактивную карту сайта с помощью рекурсивного- и основанного на словарях анализе, после чего сканер применяет к полученным элементам различные проверки защищённости (обещают, что non-disruptive, но в любом случае тестирование лучше проводить не на продакшне). По окончанию работ формируется отчёт для анализа результатов человеком.
Читать далее

Полезные плагины FireFox для тестирования защищённости веб-сайтов

FireFox, несмотря на свою тяжеловесность в работе по сравнению с Chrome или IE, обладает очень хорошей особенностью — коммьюнити браузера выпускает и поддерживает массу плагинов для отладки и тестирования веб-сайтов и веб-приложений, в том числе и для тестирования защищённости.

Использование:
  • Скачиваете плагин;
  • Устанавливаете, перезапускаете браузер;
  • Открываете нужную вам web-страничку;
  • Открываете меню утилиты — обычно, Tools->Open «tool_name» sidebar;
  • Выделяете элементы;
  • Запускаете сканирование, по завершении которого генерируется отчёт.
Некоторые из плагинов, хорошо зарекомендовавших себя в работе:
XSS-Me: для тестирования уязвимости на XSS-атаки. Работает под FireFox 11.0
https://addons.mozilla.org/en-US/firefox/addon/xss-me/

SQL Inject Me: для тестирования уязвимости на SQL -инъекции. Работает под FireFox 3.6.*
https://addons.mozilla.org/en-US/firefox/addon/sql-inject-me/

Access-Me: для тестирования уязвимостей доступа. Работает под FireFox 3.6.* На мой взгляд, наименее удобная из трёх.
https://addons.mozilla.org/en-US/firefox/addon/access-me/

Firebug: мощнейший инструмент для анализа кода и выявления багов и уязвимостей в веб-сайтах и веб-приложениях. Позволяет редактирование, отладку и просмотр CSS, HTML, JS, профилирование загрузки (н-р, при нагрузочном тестировании), выводит логи запросов между клиентом и сервером. Для работы Firebug требуется Firefox 3.0 и выше. Поддерживает огромное количество расширений, дополняющий его функционал.
https://addons.mozilla.org/en-US/firefox/addon/firebug/

Tamper Data: Приложения для перехвата и модификации HTTP/HTTPS заголовков. Удобно использовать при тестировании Session Hijack (подмена сессии изменением идентификаторов cookies).
https://addons.mozilla.org/ru/firefox/addon/tamper-data/

FoxyProxy: Расширение, позволяющее удобно хранить и быстро переключаться между разными настройками прокси. Удобно когда нужно тестировать приложения с использованием WebScarab и прочих подобных снифферов, когда нужно переключаться между тестированием локальных, интранет и внешних (интернет) сайтов.
https://addons.mozilla.org/ru/firefox/addon/foxyproxy-standard/

Firesheep: расширение браузера Firefox использует сниффер пакетов для перехвата незашифрованных HTTP cookie популярных веб-сайтов, например Facebook и Twitter, передаваемых по сети. Таким образом оно позволяет перехватывать чужие сессии работы с сайтами. Полученные из сети сессии отображаются на боковой панели браузера, и пользователь может войти на сайт от имени другого пользователя путем двойного щелчка на его имени.

Расширение было создано для демонстрации рисков безопасности, которые существуют, если веб-сайты используют шифрованное соединение лишь для проверки логина и пароля, и не шифруют HTTP cookie, используемые после аутентификации. В некоторых странах использование этого расширения без согласия пользователей, чьи данные перехватываются, может являться преступлением. Несмотря на угрозу безопасности, которую создает расширение, представители сайта Mozilla Add-ons заявили что не собираются блокировать расширение, так как блокировка используется только в отношении spyware или дополнений, которые создают уязвимости в браузере, а не для блокировки «средств нападения» (attack tools), которые могут использоваться и легально (например, для проверки безопасности собственного компьютера).
http://codebutler.com/firesheep?c=1

Тестирование защищённости: на чём тренироваться?

Очевидно, что тестирование безопасности приложений (security testing) — важное и нужное направление, особенно если ваш сайт или приложение работает с важными данными (например, личные данные пользователей или финансовая информация). Однако также очевидно и то, что нарабатывать навыки в тестировании следует не создавая неудобств владельцам других сайтов (никогда не тестируйте безопасность не спросив разрешения владельцев сайта/приложения — это нарушение закона).

На чём же тренироваться? OWASP, сообщество исследователей безопасности приложений, взяло на себя миссию и собирает ссылки на:

  1. Онлайн-тренажёры тестирования безопасности
  2. Оффлайн-тренажёры тестирования безопасности
  3. Виртуальные машины с предустановленными приложениями для тестирования и тренажёрами. Это лучший вариант, на мой взгляд, тренироваться в виртуалке как в песочнице.

Кроме перечисленных ресурсов (по ссылкам выше), я бы посоветовал Kali Linux — специальную сборку Linux для тестировщиков защищённости, содержащую отличный набор инструментов практически для всех случаев и видов тестирования. Проект Kali также распространяет и образы виртуальных машин своей сборки, очень удобный вариант для работы — не нужно тратить время на установку.

Также обратите внимание на bug bounty программы различных сервисов. Многие компании заботятся о безопасности своих сайтов и предлагают вознаграждение за найденные уязвимости, таким образом разрешая и даже поощряя тестирование защищённости их веб-сайтов.