خواندن 1 دقیقه

بر اساس تحقیقات Symantec حدود ۷۶ درصد وبسایت اسکن شده دارای malware هستند

همچنین بر اساس گزارشات SUCURI بیش از ۷۰ درصد وبسایت های اسکن شده از سیستم مدیریت محتوا WordPress استفاده میکنند 😀

اگر شما هم نگران امنیت وبسایت خود هستید میتوانید با ما تماس بگیرید

با این مقدمه انواع اسکنر های امنیت وب را میتوان به دو دسته تقسیم کرد

Commercial – غیر رایگان


ابزار هایی که در این دسته بندی هستند همانطور که از اسم آن مشخص است غیر رایگان است و برای استفاده می بایست شما هزینه ای را به صورت ماهانه یا به صورت سالانه خریداری نمایید

از ابزار های معروف میتوان

  • Acunetix
  • Detectify
  • Qualysنام برد

 

Open Source/Free – رایگان و متن باز

ابزار های متن باز معمولا به صورت پیش فرض به گستردگی ابزار های تجاری نیستند ولی این امکان را به کاربر میدهند که درصورت نیاز هر ویژگی را به ابزار خود اضافه کنند ما در این مقاله میخواهیم ۵ ابزار متن باز را به شما معرفی کنیم

 

Arachni
اسکنر Arachni

این ابزار با فریمورک زبان ruby نوشته شده است و برای اسکن نرم افزار های تحت وب به کار گرفته میشود همچنین قابلیت اجرا بر روی mac,windows,linux را نیز دارد

Arachni علاوه بر اسکن cms های آماده میتواند به دلیل تشخصی الگو های زبان ها و فریمورک ها مختلف  cms های اختصاصی بر روی هر سیستمی را نیز مورد ارزیابی قرار دهد همچنین ارزیابی را در دولایه active , passive نیز دنبال میکند

بعضی از موارد استفاده:

Windows, Solaris, Linux, BSD, Unix
Nginx, Apache, Tomcat, IIS, Jetty
Java, Ruby, Python, ASP, PHP
Django, Rails, CherryPy, CakePHP, ASP.NET MVC, Symfony

بعضی از آسیب پذیری های تشخیص داده شده:

NoSQL/Blind/SQL/Code/LDAP/Command/XPath injection
Cross-site request forgery
Path traversal
Local/Remote File inclusions
Response splitting
Cross-site scripting
Unvalidated DOM redirects
Source code disclosure

شما میتوانید در صورت نیاز خروجی های HTML, XML, Text, JSON, YAML و … از اسکن خود بگیرید

ویژگی خوب دیگر این اسکنر پلاگین ها و مستندات بسیار خوب آن است که از اینجا قابل دسترس هست

XssPy

این اسکنر با زبان پایتون و به طور خاص برای اسکن xss نوشته شده است شرکت های بزرگی همچون Microsoft, Stanford, Motorola, Informatica از این اسکنر بهره میبرند

XssPy توسط Faizan Ahmad نوشته شده است طریقه استفاده آن بسیار ساده است سورس برنامه نیز در گیت هاب قابل دسترس است

w3af

در سال ۲۰۰۶ با زبان پایتون نوشته شده است که قادر به شناسایی بیش از ۲۰۰ حفره امنیتی از جمله ۱۰ حفره OWASP است

از ویژگی های خوب این اسکنر ویرایش headers, URL, cookies, query string, post-data  و … است که همچنین میتواند گزارشات در سطوح مختلف و خروجی های CSV HTML Console
را ارایه یا ایمیل کند

این اسکنر هم به مانند Arachni پلاگین بیس است پلاگین های آن از اینجا قابل دسترس است

Nikto

اسکنر nikto

این پروژه توسط Netsparker برای ارزیابی تنظیمات وب سرور،حفره های امنیت پلاگین ها،حفره های امنیتی وب  نوشته شده است Nikto همچنین قادر به ارزیابی ۶۵۰۰ مورد است

قادر به پشتبانی از HTTP proxy, SSL و یا NTLM authentication و … است شما میتوانید حداکثر زمان اجرای تست به ازای هر هذف را تغییر دهید
این پروژه در سیستم عامل Kali Linux قابل استفاده است

 

(Wfuzz(Web Fuzzer

این نرم افزار کاربرد بسیار خوبی دارد زیرا میتواند در تمام فاز های درخواست http برای پیدا کردن حفره و اکسپولیت را مورد ارزیابی قرار داد

این نرم افزار با زبان محبوب پایتون نوشته شده است که مستندات بسیار خوبی هم دارد

منبع:geekflare.com