Categorias
Projetos

Ferramentas gratuitas para testes de segurança em sites

7min para ler
Miscelânea

Web sites estão ficando mais e mais complexos a cada dia e quase não há mais sites estáticos sendo desenvolvidos. Hoje, o site mais simples tem pelo menos um formulário de contato ou newsletter e muitos são construídos com CMSs ou usam plugins ou serviços de terceiros, que nem sempre oferecem 100% de controle.

Mesmo se o site é 100% “feito à mão”, quando nós confiamos em nosso próprio trabalho e pensamos que tudo está seguro, é possível que um caractere especial não tenha sido tratado ou não tenhamos conhecimento sobre novas técnicas de ataque.

Então, é realmente difícil dizer “meu site é seguro”, sem realizar alguns testes de segurança. A parte boa é que há ferramentas robustas e grátis para testes de segurança para ajudar a identificar quaisquer possíveis falhas.

Este é um artigo traduzido do original “10+ Free Web Application Security Testing Tools”, do blog WebResourcesDepot, e sofreu algumas adaptações.

Websecurify

Websecurify (para Windows, Linux, Mac OS X) é uma ferramenta open source muito fácil de usar que identifica automaticamente as vulnerabilidades de aplicações web. Ele pode criar relatórios simples (que pode ser exportado em vários formatos). A ferramenta tem suporte a vários idiomas e é extensível, apresentando suporte a plugins.

skipfish

skipfish (que funciona em Windows, Linux e Mac OS X) é ferramenta para teste de segurança em sites totalmente automatizada e é muito leve e muito rápido (podendo executar 2.000 pedidos por segundo). O software aprende sozinho sobre o que está analisando, sendo capaz de geração de wordlists em tempo real e autocompletar formulários. Assim como as demais ferramentas de segurança, possui diversos tipos de testes de segurança, incluindo Blind SQL Injection.

Watcher

Watcher, para Windows, é um plugin para o Fiddler e funciona como uma ferramenta de análise passiva para aplicações web baseadas em HTTP. Ele é executado em segundo plano e interage com a aplicação web realizando mais de 30 testes (novos podem ser adicionados) enquanto você navega. Ele identifica questões como POSTs cross-domain, comutação perigosa entre HTTP e HTTPS, dentre outros.

x5s

X5s é outro plugin para o Fiddler, assim como o Watcher também é para Windows, projetado para trabalhar com falhas de segurança relativas à vulnerabilidades de XSS. Ele realiza testes de input com caracteres especiais como < e > e analisa como é o output resultante.

Exploit-Me

Ao invés de usar um proxy, como a maioria das ferramentas de teste de segurança, o Exploit-me é um plugin para o Firefox que realiza os testes pelo próprio browser. Na verdade ele é um “combinado” de 3 plugins de segurança:

Acunetix

Esta é a versão gratuita do Acunetix, programa para Windows que executa verificação através de testes de segurança para identificar vulnerabilidades de Cross Site Scripting (XSS).