'스캐너'에 해당되는 글 5건

  1. 2010.07.08 Web Vulnerability Scanners Comparison
  2. 2010.03.26 Penetraton Testing 프로그램 - Immunity Canvas
  3. 2009.09.18 무료 SQL 인젝션 스캐너 15 제품 요약 정리 (2)
2010.07.08 11:02

Web Vulnerability Scanners Comparison

Acunetix Web Vulnerability Scanner placed first in a paper released by Adam Doup´e, Marco Cova, and Giovanni Vigna from the University of California, Santa Barbara.  In the paper “Why Johnny Can’t Pentest: An Analysis of Black-box Web Vulnerability Scanners”, the authors compared the capalities of eleven black box web security scanners (both commercial and open source) against a realistic test web application called WackoPicko.

“In comparison, our work, to the best of our knowledge, performs the largest evaluation of web application scanners in terms of the number of tested tools (eleven, both commercial and open-source), and the class of vulnerabilities analyzed. In addition, we discuss the effectiveness of different configurations and levels of manual intervention, and examine in detail the reasons for a scanner’s success or failure.”

“we decided to create our own test application, called WackoPicko. It is important to note that WackoPicko is a realistic, fully functional web application.  As opposed to a simple test application that contains just vulnerabilities, WackoPicko tests the scanners under realistic conditions. To test the scanners’ support for clientside JavaScript code, we also used the open source Web Input Vector Extractor Teaser (WIVET). WIVET is a synthetic benchmark that measures how well a crawler is able to discover and follow links in a variety of formats, such as JavaScript, Flash, and form submissions.”



출처 : http://www.acunetix.com

Trackback 0 Comment 0
2010.03.26 23:52

Penetraton Testing 프로그램 - Immunity Canvas

Immunity Canvas
[출처] http://blog.empas.com/yoon0258/list.html?p=10

1. 개요

Immunity Canvas는 수백 여개의 유효한 공격코드와, 자동화된 공격 시스템, 그리고 전세계의 모의해킹 테스터와 보안 전문가를 위한 광범위하고 신뢰할 수 있는 공격코드 개발 프레임워크를 만듭니다.

 

Immunity라는 회사에서 개발한 자동화된 Penetration Testing 프로그램입니다. 일명 자동 해킹공격 수행 프로그램입니다.
현재까지 개발된 것은 15가지 취약점에 대한 Exploiting까지 가능합니다.
기존의 취약점 스캐너들이 취약점 존재 여부만을 알려주지만, CANVAS는 취약점을 이용해서 실제로 시스템 침투까지 자동적으로 수행해 주는 특징이 있습니다.
프로그램만 구동해주면 툴이 알아서 취약점을 찾고 공격해서 시스템 권한을 획득해 줍니다.  기능이 기능인 만큼 돈 받고 파는 소프트웨어 입니다. 가격은 US $995입니다. 이것과 유사한 것으로 Metasploit 프로젝트도 있습니다. 상용으로는 Core impact 라는 툴이 있는데 상당히 고가입니다.

 

 

 

2. 소개

 

   1)  CANVAS 구동 초기화 

    

 

 

   2) CANVAS CLI 모드에서 해킹에 성공한 화면 

  

 


   3) 취약점 모듈

     


 

   4) 취약점 모듈을 통해 자동공격 실행

    


3. 참고

   - http://www.immunitysec.com/documentation/real_import.html
   - http://www.immunitysec.com/products-documentation.shtml


Trackback 0 Comment 0
2009.09.18 10:05

무료 SQL 인젝션 스캐너 15 제품 요약 정리

Security-Hacks에서, 무료로 제공되는 SQL 인젝션 스캐너 15개 제품의 요약 정보와 다운로드를 제공하는 글이 있어 이를 정리해서 올려 드립니다.

아시다시피, SQL Injection 공격은 웹 페이지에서 데이터베이스를 액세스하는 방식을 통해 공격하는 것으로 대부분의 관리자들은 이러한 위협에 대비하여 코딩을 해야 하며, 웹 방화벽 장비나 웹 나이트와 같은 무료 보안 프로그램을 통해 보안을 향상시키는 방향으로 진행되는 것으로 알고 있습니다.

아래의 제품들은 여러분이 운영하는 사이트가 SQL Injection 공격에 대한 취약점이 있는지 자동으로 검사하여 이를 알려 주는 프로그램입니다. 참고로, 아래의 정보는 웹 애플리케이션 개발자 뿐만 아니라 보안 전문가에게도 유익한 프로그램입니다.

1. SQLIer - 취약점이 있는 URL을 검사하고 사용자의 개입없이 SQL Injection 취약점을 익스플로잇하기 위해 필요한 정보를 점검합니다. 다운로드

2. SQLbftools - 블라인드 SQL Injection 공격을 사용하여 MySQL의 정보를 가져오는 시도를 하는 도구의 모음입니다. 다운로드

3. SQL Injection Brute-forcer - SQL Injection 공격 취약점을 찾고 이를 이용하여 공격하는 자동화 도구입니다. 사용자가 작업하는 내용을 볼 수 있으며, 블라인드 SQL 인젝션을 이용합니다. 다운로드

4. SQL Brute - 블라인드 SQL 인젝션 취약점을 사용하여 데이터베이스에서 데이터를 추출해내는 무작위 도구입니다. MS SQL 서버의 시간, 오류 기반으로 익스플로잇을 수행합니다. 오라클의 경우 오류를 기반으로 합니다. 이 프로그램은 Python으로 작성되었으며 멀티 스레드로 동작하며 표준 라이브러리를 사용합니다. 다운로드

5. BobCat - SQL Injection 취약점의 잇점을 이용하는 감사 도구입니다. 사용자가 사용하는 애플리케이션이 액세스하는 테이블에서 데이터를 가져올 수 있습니다. 다운로드

6. SQLMap - 블라인드 SQL Injection을 자동으로 수행하는 도구로 phthon으로 개발되었다. 다운로드

7. Absinthe - GUI 기반의 도구로 블라인드 SQL Injection 취약점에 이용하여 데이터베이스의 스키마와 목록을 자동화 과정으로 다운로드합니다. 다운로드

8. SQL Injection Pen-testing Tool - 웹 애플리케이션에서의 취약점을 찾아 데이터베이스를 점검하도록 설계된 GUI 기반의 도구. 다운로드

9. SQID - SQL Injection Digger. 웹 사이트의 통상적인 오류와 SQL Injection을 찾는 명령행 기반의 도구. 웹 페이지에서 SQL Injection 이 가능한 부분을 찾아내어 취약점을 입력하는 폼을 테스트한다. 다운로드

10. Blind SQL Injection Perl Tool - bsqlbf는 SQL Injection에 취햑한 웹 사이트에서 정보를 가져오도록 작성된 펄 스크립트. 다운로드

11. SQL Power Injection Injector - 이 프로그램은 웹페이지에서 SQL 명령어를 삽입하는 테스트를 수행합니다. 멀티 스레드 방식으로 블라인드 SQL Injection 공격을 자동화하여 실행합니다. 다운로드 

12. FJ-Injector Framework - 웹 애플리케이션에 SQL Injection 취약점이 있는지 검사하기 위해 디자인된 오픈 소스 무료 프로그램입니다. HTTP 요청을 가로쳐서 변경하기 위한 프록시 기능도 제공합니다. SQL Injection 익스플로잇을 자동화하여 수행합니다. 다운로드

13. SQLNinja - MS SQL 서버를 백 엔드 데이터베이스로 사용하는 웹 애플리케이션의 SQL Injection 취약점을 익스플로잇하는 도구입니다. 다운로드

14. Automatic SQL Injector -  SQLNinja와 유사한 도구로, 오류 코드가 반환되는 SQL Injection 취약점을 자동으로 찾아 줍니다. 다운로드

15. NGSS SQL Injector - 데이터베이스에 저장된 데이터를 액세스하기 위한 SQL Injection취약점을 이용하여 익스플로잇합니다. Access, DB2, Informix, MSSQL, MySQL, Oracle, Sysbase 등 다양한 데이터베이스를 지원합니다. 다운로드

출처 : http://ntfaq.co.kr/

Trackback 0 Comment 2
  1. Favicon of https://blog.pages.kr 날으는물고기 2009.09.18 10:35 신고 address edit & del reply

    http://blog.naver.com/choibit?Redirect=Log&logNo=140042280677

  2. 1234 2010.10.12 19:17 address edit & del reply

    이런 좋은 도구도 스크립트 키디 손에 넘어가면 ㅎㅎ;