Hơn 30 công cụ miễn phí để cải thiện bảo mật cho trang web của bạn và khách truy cập của bạn

Công cụ bảo mật trang web miễn phí


Các cuộc tấn công mạng là một sự xuất hiện hàng ngày và chi phí đồng thời cho các tổ chức đang leo thang. Tuy nhiên, bạn có thể giảm thiểu thảm họa mạng bằng các công cụ bảo mật trang web miễn phí sẽ giúp bạn xác định các lỗ hổng trang web và giữ cho khách truy cập của bạn an toàn, hay nói đúng hơn là an toàn hơn

Người ta sẽ nghĩ rằng các doanh nghiệp lớn có phương tiện và cơ hội để giám sát các ứng dụng của họ về các lỗ hổng trang web. Nhưng, dường như không. Chỉ là một vài ví dụ:

  • Vụ vi phạm Yahoo năm 2013 đã xảy ra do một cuộc tấn công giả mạo cookie cho phép tin tặc xác thực như bất kỳ người dùng nào khác mà không cần mật khẩu của họ. Các nhà phân tích cho rằng Yahoo có thể ngăn chặn thiệt hại nếu họ có những hành động nhanh hơn chống lại những kẻ xâm nhập.
  • Các tiêu đề tấn công Panama Papers là kết quả của ít nhất hai lần thất bại trong việc cập nhật phần mềm:
    • Phiên bản lỗi thời cho plugin trượt hình ảnh của họ trên WordPress
    • Một phiên bản Drupal ba năm tuổi chứa một số lỗ hổng đã biết
  • Phải mất một lập trình viên 17 tuổi để chỉ ra một giả mạo yêu cầu chéo trang trên Flickr. Sau khi được thông báo, Flikr chỉ mất 12 giờ để khắc phục lỗ hổng.

Xem thêm: Các vi phạm dữ liệu lớn nhất trong lịch sử

Mặc dù không có hệ thống bảo mật nào, ngay cả bảo mật tại nhà của bạn cũng không thể kiểm soát được, nhưng việc quét trang web thông thường có thể giúp bảo vệ chống lại các cuộc tấn công cơ hội vào tài sản ảo của bạn. Lấy American Fuzzy Lop (AFL), một fuzzer mã nguồn mở được phát triển bởi Michał Zalewski của Google. Nó đã giúp tìm ra các lỗ hổng trong các ứng dụng web phổ biến khác nhau, bao gồm Firefox, Flash, LibreOffice, Internet Explorer và Apple Safari. 

Mẹo sử dụng các công cụ bảo mật trang web miễn phí 

Nhiều công cụ bảo mật trang web miễn phí được đánh giá ở đây có các tính năng và chức năng tương tự. Thường thì đó là trường hợp so sánh táo với lê. Không xúc phạm nhà cung cấp bảo mật hàng đầu Sucuri, nhưng thậm chí họ gặp khó khăn trong việc phân biệt sản phẩm của họ với người khác:

Một vài plugin bảo mật khác cung cấp các tính năng giám sát hoạt động, nhưng rất ít plugin hoạt động tốt [V]] Chúng tôi đã thu hẹp các tính năng chính mà chúng tôi cảm thấy phù hợp nhất với bất kỳ chủ sở hữu trang web nào.

Vì lý do này, chúng tôi đã phân loại các công cụ này và lưu ý những lợi ích và bất lợi chính của mỗi công cụ. Một số loại làm chồng chéo; đáng chú ý nhất là các công cụ kiểm tra thâm nhập và quét lỗ hổng.

Bạn sẽ nhận thấy danh sách các công cụ miễn phí bao gồm một số công cụ được sử dụng riêng để quét các ứng dụng web. Sự khác biệt giữa một trang web và một ứng dụng là gì? Ben Shapiro từ Segue Technologies cung cấp câu trả lời dài toàn diện. Nếu bạn muốn câu trả lời ngắn, stackoverflow đặt nó ngắn gọn:

Sách [Một trang web] là một tập hợp các tài liệu được truy cập qua internet thông qua trình duyệt web. Các trang web cũng có thể chứa các ứng dụng web, cho phép khách truy cập hoàn thành các tác vụ trực tuyến như: Tìm kiếm, Xem, Mua, Thanh toán và Thanh toán.

Điều quan trọng là bạn nên có một cách tiếp cận toàn diện khi kiểm tra trang web của bạn. Nếu nghi ngờ, chỉ cần kiểm tra tất cả mọi thứ. Các công cụ bảo mật trang web miễn phí giúp bạn dễ dàng và không mất gì ngoài thời gian của bạn.

  • Phát triển một chiến lược thử nghiệm: Hầu hết các công cụ bảo mật trang web hoạt động tốt nhất với các loại công cụ bảo mật khác. Một ví dụ điển hình là lĩnh vực kiểm tra thâm nhập. Quản trị viên thường sử dụng máy quét lỗ hổng trước khi sử dụng công cụ kiểm tra thâm nhập cho các mục tiêu cụ thể, ví dụ: cổng mạng hoặc ứng dụng. Chẳng hạn, Wireshark vừa là công cụ phân tích mạng vừa là công cụ kiểm tra thâm nhập.

    Một máy quét lỗ hổng đa năng có lẽ là nơi tốt nhất để bắt đầu. Nhưng, nếu bạn chủ yếu quan tâm đến việc quét mã nhà phát triển của mình, hãy tìm đến phần phân tích mã nguồn tĩnh bên dưới. Bạn muốn kiểm tra mật khẩu của bạn an toàn như thế nào? Chúng tôi cũng đã cung cấp một số công cụ bẻ khóa mật khẩu miễn phí cho bạn.

  • Một kích thước không phù hợp với tất cả: Tất cả các công cụ bảo mật trang web miễn phí đều có những ưu điểm và nhược điểm và hiếm khi có giải pháp một kích cỡ phù hợp cho tất cả. Chẳng hạn, với tư cách là một công cụ phân tích, công cụ quét mạng được xếp hạng hàng đầu Wireshark thực hiện công việc tương tự như công cụ Fiddler và hiệu quả hơn. Tuy nhiên, Wireshark không thể đánh hơi lưu lượng trong cùng một máy (localhost) trên Windows. Nếu bạn cần đánh hơi lưu lượng truy cập cục bộ trên Windows, bạn phải sử dụng Fiddler.
  • Phân tích kết quả: Đừng tin vào kết quả của một lần quét! Chúng tôi đã thử nghiệm một số máy quét trên cả trang web an toàn và không an toàn và kết quả khác nhau rõ rệt. Điều đó đưa chúng ta đến tích cực sai. Những điều này có thể gây phiền nhiễu nhưng hãy nhớ rằng chúng tốt hơn những phủ định sai. Một cái gì đó đơn giản như thay đổi cấu hình hoặc cập nhật phần mềm có thể kích hoạt cảnh báo cần được kiểm tra.
  • Nhận hỗ trợ miễn phí:  Nếu bạn muốn sử dụng các công cụ miễn phí, lý tưởng nhất là bạn nên có một số kiến ​​thức bảo mật vì hầu hết các công cụ miễn phí không có hỗ trợ khách hàng; bạn phải tự làm tất cả công việc bẩn thỉu. Ngoài ra, hãy truy cập Joomla! Diễn đàn, Diễn đàn Ubuntu, ASP.NET, MBSA hoặc Máy tính Bleeping để gửi câu hỏi của bạn và tìm kiếm giải pháp.
  • Giữ cho nó tươi: Nhược điểm của các công cụ miễn phí là chúng có thể không được cập nhật thường xuyên với các lỗ hổng mới nhất được biết đến. Luôn kiểm tra ngày phát hành phiên bản mới nhất.

Những gì bạn cần biết về các công cụ bảo mật trang web miễn phí

Phương pháp kiểm tra

Có ba loại công cụ chính liên quan đến phát hiện lỗ hổng ứng dụng:

  • Kiểm tra hộp đen – Phương pháp kiểm thử phần mềm kiểm tra chức năng của ứng dụng mà không kiểm tra cấu trúc bên trong của nó. Kiểm tra tập trung vào những gì phần mềm được cho là phải làm, không phải như thế nào. Bao gồm trong danh mục này là máy quét lỗ hổng, máy quét bảo mật ứng dụng web và công cụ kiểm tra thâm nhập.
  • Kiểm tra hộp trắng – Phương pháp kiểm thử phần mềm tập trung vào các cấu trúc bên trong của một ứng dụng ở cấp mã nguồn, trái ngược với chức năng của nó. Máy phân tích mã nguồn tĩnh và các công cụ kiểm tra thâm nhập thuộc loại này. Với thử nghiệm thâm nhập, thử nghiệm Hộp Trắng, theo Wikipedia, đề cập đến một phương pháp trong đó một hacker Mũ Trắng có kiến ​​thức đầy đủ về hệ thống bị tấn công. Mục tiêu của thử nghiệm thâm nhập Hộp Trắng là mô phỏng người trong cuộc độc hại, người có kiến ​​thức và có thể là thông tin cơ bản cho hệ thống đích.
  • Kiểm tra hộp xám – Trong không gian ảo, đường phân định các danh mục đã bị mờ, tạo ra mô hình thử nghiệm mới này kết hợp các yếu tố của cả hai phương pháp Hộp đen và Trắng.   

Lỗ hổng trang web phổ biến

Dự án bảo mật ứng dụng web mở (OWASP) được tôn trọng là một cộng đồng mở dành riêng cho phép các tổ chức phát triển, mua và duy trì các ứng dụng có thể tin cậy được. Đây là cơ quan tiêu chuẩn mới nổi về bảo mật ứng dụng web và hàng năm công bố danh sách 10 lỗ hổng trang web hàng đầu trong một năm nhất định.

Đối với mỗi lỗ hổng, chúng tôi đã bao gồm một liên kết đến một trang web sẽ cung cấp cho bạn nhiều chi tiết kỹ thuật hơn nếu bạn quan tâm.

  1. SQL SQL – Kỹ thuật tiêm mã trong đó các câu lệnh SQL độc hại được chèn vào trường nhập để thực thi. Kỹ thuật này được sử dụng để thao tác (ví dụ: tải xuống) hoặc dữ liệu bị hỏng. Nó nhắm mục tiêu đầu vào của người dùng không được xác nhận hợp lệ và thoát. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách thay thế đầu vào của người dùng bằng các lệnh riêng của chúng, được gửi trực tiếp đến cơ sở dữ liệu. Thí dụ: Ủy ban bầu cử Philippines về vi phạm bầu cử.
  2. Xác thực bị hỏng và Quản lý phiên – Các chức năng ứng dụng liên quan đến xác thực và quản lý phiên thường được triển khai không chính xác, cho phép kẻ tấn công thỏa hiệp mật khẩu, khóa hoặc mã thông báo phiên hoặc khai thác các lỗi thực thi khác để giả định danh tính người dùng khác (tạm thời hoặc vĩnh viễn). Thí dụ: 17 Vi phạm truyền thông.  
  3. Cross-script script (XSS) – Cuộc tấn công này có nhiều hương vị. Ở mức cơ bản nhất, nó cho phép kẻ tấn công đưa các tập lệnh phía máy khách vào các trang web được người dùng khác xem. Nó dựa trên một khái niệm cơ bản về niềm tin được gọi là chính sách cùng nguồn gốc, nói rằng nếu nội dung từ một trang web được cấp quyền truy cập tài nguyên trên một hệ thống, thì bất kỳ nội dung nào từ trang web đó sẽ chia sẻ các quyền này. Sau khi vi phạm một trang web đáng tin cậy, kẻ tấn công có thể đưa nội dung độc hại của chúng vào nội dung được gửi đến trang web phía khách hàng và có quyền truy cập vào kho tàng thông tin của nó. Thí dụ: EBay đã lưu trữ XSS.
  4. Kiểm soát truy cập bị hỏng – Kẻ tấn công có thể sử dụng rò rỉ hoặc sai sót trong các chức năng xác thực hoặc quản lý phiên (ví dụ: tài khoản bị lộ, mật khẩu, ID phiên) để mạo danh người dùng. Thí dụ: Vi phạm tìm kiếm bạn bè người lớn vi phạm.
  5. Lỗi cấu hình bảo mật – Đây là kết quả của việc lắp ráp không chính xác các biện pháp bảo vệ của ứng dụng web. Để lại lỗ hổng bảo mật có thể vi phạm trong máy chủ, cơ sở dữ liệu, khung hoặc mã. Thí dụ: Vi phạm cử tri Mexico.
  6. Phơi nhiễm dữ liệu nhạy cảm – Nhiều ứng dụng web và API không bảo vệ đúng thông tin nhạy cảm, chẳng hạn như dữ liệu tài chính hoặc chăm sóc sức khỏe. Kẻ tấn công có thể đánh cắp hoặc sửa đổi dữ liệu được bảo vệ yếu để thực hiện hành vi gian lận thẻ tín dụng, trộm danh tính hoặc các tội phạm khác. Dữ liệu nhạy cảm xứng đáng được bảo vệ thêm như mã hóa khi nghỉ ngơi hoặc quá cảnh, cũng như các biện pháp phòng ngừa đặc biệt khi trao đổi với trình duyệt. Thí dụ: Viện quản lý Ấn Độ vi phạm.
  7. Bảo vệ tấn công không đủ – Phần lớn các ứng dụng và API thiếu khả năng cơ bản để phát hiện, ngăn chặn và phản ứng với cả các cuộc tấn công thủ công và tự động. Bảo vệ tấn công vượt xa xác thực đầu vào cơ bản và liên quan đến việc tự động phát hiện, ghi nhật ký, phản hồi và thậm chí chặn các nỗ lực khai thác. Chủ sở hữu ứng dụng cũng cần có khả năng triển khai các bản vá nhanh chóng để bảo vệ chống lại các cuộc tấn công. Thí dụ: Ba vi phạm.
  8. Giả mạo yêu cầu trang web chéo (CSRF) – Buộc người dùng cuối thực hiện các hành động không mong muốn trên một ứng dụng web mà họ hiện đang xác thực mà không cần biết. Bằng cách dụ người dùng đến một trang web do kẻ tấn công kiểm soát, tin tặc có thể sửa đổi yêu cầu của người dùng về máy chủ đến máy chủ. Thí dụ: Tấn công Facebook.
  9. Sử dụng các thành phần có lỗ hổng đã biết – Các thành phần, chẳng hạn như thư viện, khung và các mô-đun phần mềm khác chạy với các đặc quyền giống như ứng dụng. Nếu một thành phần dễ bị khai thác, một cuộc tấn công như vậy có thể tạo điều kiện mất dữ liệu nghiêm trọng hoặc tiếp quản máy chủ. Các ứng dụng và API sử dụng các thành phần có lỗ hổng đã biết có thể làm suy yếu khả năng phòng vệ của ứng dụng và cho phép các cuộc tấn công và tác động khác nhau. Thí dụ: Vi phạm Mossack Fonesca (Hồ sơ Panama).
  10. API không được bảo vệ – Các ứng dụng hiện đại thường liên quan đến các ứng dụng khách và API phong phú, chẳng hạn như JavaScript trong trình duyệt và ứng dụng di động kết nối với một loại API nào đó (SOAP / XML, REST / JSON, RPC, GWT, v.v.). Các API này thường không được bảo vệ và có thể chứa nhiều lỗ hổng. Thí dụ: McDonalds rò rỉ.

Máy quét lỗ hổng

Máy quét lỗ hổng là phần mềm chuyên dụng quét mạng, hệ thống hoặc máy chủ của bạn để xác định lỗi, lỗ hổng bảo mật và lỗ hổng. Nó tự động kiểm tra một hệ thống cho được biết đến lỗ hổng. Đầu tiên nó xác định các cổng mở; địa chỉ và đăng nhập Giao thức Internet (IP) đang hoạt động; và hệ điều hành, phần mềm và dịch vụ đang hoạt động. Sau đó, nó so sánh thông tin tìm thấy với các lỗ hổng đã biết trong cơ sở dữ liệu của nó hoặc cơ sở dữ liệu của bên thứ ba. Đối với người đàn ông trên đường phố, nó hoạt động giống như phần mềm diệt virus trong vườn, nhưng tinh vi hơn rất nhiều. Ví dụ, các máy quét lỗ hổng tốt nhất đủ thông minh để bao gồm quản lý bản vá và các thành phần kiểm tra thâm nhập. Có một số sự chồng chéo giữa máy quét lỗ hổng và các công cụ kiểm tra thâm nhập. Loại thứ hai sử dụng các lỗ hổng được phát hiện bởi các máy quét để thực hiện các vi phạm và chứng minh khả năng thỏa hiệp lỗ hổng. Sau đây là tất cả các công cụ hoàn toàn miễn phí.   

Hệ thống đánh giá tính dễ bị tổn thương mở (OpenVAS)

OpenVAS là một bộ bảo mật quét bao gồm nhiều dịch vụ và công cụ khác nhau. Bản thân máy quét không hoạt động trên các máy Windows nhưng có một máy khách cho Windows. Nó nhận được một nguồn cấp dữ liệu, được cập nhật hàng ngày, trong hơn 30000+ Kiểm tra lỗ hổng mạng (NVT). Công cụ này được chia rẽ từ phiên bản miễn phí cuối cùng của Nessus, một công cụ quét lỗ hổng khác, sau khi nó được độc quyền vào năm 2005. Văn phòng Bảo mật Thông tin Liên bang Đức (BSI) sử dụng OpenVAS như một phần của khung bảo mật CNTT của họ.

Chuyên nghiệp:

  • Cơ sở dữ liệu lỗ hổng lớn
  • Khả năng nhiệm vụ quét đồng thời
  • Quét theo lịch trình
  • Quản lý dương tính giả
  • Miễn phí cho IP không giới hạn
  • Tốt toàn diện

Con:

  • Không phải là công cụ dễ nhất để cài đặt cho người mới
  • Thành phần chính – công cụ quét – yêu cầu Linux

Trình phân tích bảo mật cơ sở của Microsoft (MBSA)

MBSA quét các máy tính để bàn và máy chủ của Microsoft để tìm các bản cập nhật bảo mật bị thiếu, các bản vá bảo mật và các cấu hình sai bảo mật phổ biến.

Chuyên nghiệp:

  • Giao diện thân thiện với người dùng cho phép bạn quét các máy cục bộ hoặc từ xa; chọn một máy để quét hoặc chọn toàn bộ miền hoặc chỉ định dải địa chỉ IP; và chọn chính xác những gì bạn muốn quét, ví dụ: mật khẩu yếu hoặc cập nhật Windows
  • Cung cấp các đề xuất khắc phục cụ thể khi tìm thấy lỗ hổng
  • Diễn đàn tích cực cung cấp hỗ trợ chất lượng

Con:

  • Không quét phần mềm không phải của Microsoft
  • Không quét các lỗ hổng dành riêng cho mạng

Phiên bản cộng đồng Nexpose

Nhằm vào các doanh nghiệp nhỏ cũng như các cá nhân sử dụng nhiều máy tính được kết nối với mạng cục bộ, Nexpose có thể quét mạng, hệ điều hành, ứng dụng web, cơ sở dữ liệu và môi trường ảo. Nó tích hợp với Metasploit Framework phổ biến, một công cụ để phát triển và thực thi mã khai thác đối với một máy mục tiêu từ xa. Tham gia là một cộng đồng rất tích cực của những người thử nghiệm thâm nhập và các nhà nghiên cứu bảo mật đang thúc đẩy sự phát triển của các khai thác này sau đó được chuyển thành các định nghĩa về lỗ hổng.

Chuyên nghiệp:

  • Bao gồm một tùy chọn đẹp để đặt chính sách để xác định và theo dõi các tiêu chuẩn tuân thủ bắt buộc của bạn
  • Cho phép hiển thị chi tiết dữ liệu được quét
  • Có thể được cài đặt trên Windows, Linux hoặc máy ảo

Con:

  • Phiên bản miễn phí được giới hạn ở 32 IP cùng một lúc

Bảo mật

TripWire gọi SecureCheq là tiện ích đánh giá cấu hình. Nó kiểm tra khoảng hai chục lỗi cấu hình nghiêm trọng nhưng phổ biến liên quan đến cứng hệ điều hành, Bảo vệ dữ liệu, Bảo mật truyền thông, Hoạt động tài khoản người dùng và Ghi nhật ký kiểm toán. Công cụ miễn phí này sẽ hoạt động tốt nhất khi kết hợp với máy quét mạnh hơn, như Trình phân tích bảo mật cơ sở của Microsoft (MBSA).

Chuyên nghiệp:  

  • Dễ dàng sử dụng cho người mới bắt đầu
  • Cung cấp sửa chữa chi tiết và tư vấn sửa chữa

Con:

  • Chỉ quét cục bộ trên máy Microsoft
  • Phiên bản miễn phí của công cụ này chỉ cung cấp khoảng một phần tư cài đặt của phiên bản trả phí  

Qualys FreeScan

Máy quét nhẹ có thể được sử dụng để đánh giá tình trạng lỗ hổng trang web của bạn và giúp bạn đưa ra quyết định về mức độ bảo vệ bạn cần trong tương lai. Một cái tên đáng tin cậy, Qualys là công ty đầu tiên cung cấp các giải pháp quản lý lỗ hổng dưới dạng các ứng dụng thông qua web bằng cách sử dụng một phần mềm trên mạng như một mô hình dịch vụ (SaaS).

Chuyên nghiệp:

  • Quét chu vi Quét ứng dụng Web
  • Phát hiện phần mềm độc hại

Con:

  • Giới hạn trong mười lần quét bảo mật duy nhất của tài sản có thể truy cập internet

Grabber

Công cụ đơn giản, nhẹ, quét các lỗ hổng ứng dụng web cơ bản. Nó nhằm vào các nhà phát triển muốn tùy chỉnh các bản quét nhỏ trong quá trình mã hóa.

Chuyên nghiệp:

  • Hữu ích cho các trang web nhỏ

Con:

  • Không có GUI
  • Chỉ báo cáo bằng XML
  • Có xu hướng hơi chậm một chút

Wapiti

Thực hiện kiểm tra Hộp đen của các ứng dụng web. Nó không xem lại mã nguồn của ứng dụng nhưng sẽ quét các trang web của một ứng dụng đã triển khai, tìm kiếm các tập lệnh và biểu mẫu nơi nó có thể tiêm dữ liệu. Được trang bị dữ liệu này, nó hoạt động như một fuzzer, bơm tải trọng để xem liệu tập lệnh có dễ bị tấn công không.

Chuyên nghiệp:

  • Tạo báo cáo lỗ hổng theo các định dạng khác nhau (ví dụ: HTML, XML, JSON, TXT)
  • Có thể tạm dừng và tiếp tục quét hoặc tấn công
  • Có thể làm nổi bật các lỗ hổng với màu sắc trong thiết bị đầu cuối

Con:

  • Giao diện dòng lệnh
  • Có thể tạo ra nhiều dương tính giả

w3af

Đây là một cuộc tấn công và kiểm toán ứng dụng web có thể được sử dụng cùng với các công cụ kiểm tra thâm nhập. Các nhà tài trợ bao gồm Openware (nay là Globant), Cybsec, bonsai và Rapid7. Công ty là một cộng tác viên nhiệt tình tại các hội nghị của Infosec T2, dành riêng cho những người quan tâm đến các khía cạnh kỹ thuật của bảo mật thông tin.

Chuyên nghiệp:

  • Ứng dụng nguồn mở phổ biến, được hỗ trợ tốt
  • GUI dễ sử dụng
  • Dễ dàng mở rộng
  • Xác định hơn 200 lỗ hổng
  • Sử dụng các plugin w3af, là các đoạn mã Python mở rộng chức năng khung bằng cách cung cấp các cách mới để trích xuất URL hoặc tìm lỗ hổng
  • Tương thích với tất cả các nền tảng được hỗ trợ Python

Con:

  • Hỗ trợ Windows nhưng không chính thức

Phần mềm kiểm tra thâm nhập

Kiểm tra thâm nhập (kiểm tra bút) là một cuộc tấn công mô phỏng được ủy quyền trên một hệ thống máy tính nhằm tìm kiếm các điểm yếu bảo mật không xác định. Một công cụ kiểm tra bút về cơ bản mô phỏng một hacker với mục tiêu cuối cùng là kiểm tra khả năng phòng thủ của tổ chức chống lại cuộc tấn công giả lập. Trong quá trình kiểm tra bút, một hỗn hợp quét tự động và kỹ thuật khai thác thủ công được sử dụng. Ví dụ: một công cụ tự động như Nmap, cung cấp khám phá mạng cơ bản, có thể được sử dụng trong khung khai thác (ví dụ: Metasploit).

Kiểm tra bút đòi hỏi kỹ năng chuyên môn cao. Để bắt đầu, PentesterLabs cung cấp các bài tập huấn luyện miễn phí và bên dưới bạn sẽ tìm thấy một danh sách các nguồn mở và các công cụ miễn phí để giúp bạn bắt đầu.

Proxy tấn công Zed (ZAP)

Công cụ kiểm tra bút tích hợp để tìm lỗ hổng trong các ứng dụng web. Nó hoạt động như một proxy giữa trình duyệt web của người dùng và một ứng dụng để cho phép kiểm tra bảo mật thủ công và tự động đối với các ứng dụng web. Có thể giúp các nhà phát triển tự động tìm lỗ hổng bảo mật trong các ứng dụng web trong khi họ đang phát triển chúng. Cũng được sử dụng bởi những người kiểm tra bút để kiểm tra bảo mật thủ công bằng cách nhập URL để thực hiện quét hoặc sử dụng công cụ làm proxy chặn. Từ năm 2013 đến 2016, Zap đã được bình chọn đầu tiên hoặc thứ hai hàng năm trong Cuộc khảo sát về công cụ bảo mật nguồn mở / miễn phí tốt nhất hàng năm của ToolsWatch.

Chuyên nghiệp:

  • Hoàn toàn miễn phí
  • Dễ dàng để cài đặt
  • Thường chạy như một giao diện người dùng tương tác và hoạt động như một proxy chặn, vì vậy bạn có thể thay đổi yêu cầu một cách linh hoạt

Con:

  • Được thiết kế chủ yếu để giúp bạn tìm lỗ hổng bảo mật theo cách thủ công
  • Không thực sự có ý định chạy như một máy quét hoàn toàn tự động

Fiddler

Công cụ này được phân loại là một ứng dụng máy chủ proxy. Nó chủ yếu được sử dụng để chặn và giải mã lưu lượng HTTPS. Người dùng có thể tìm hiểu và kiểm tra lưu lượng đó để xác định các lỗ hổng trong ứng dụng. Watcher là một addon Fiddler, được thiết kế để hỗ trợ người kiểm tra thâm nhập trong việc tìm kiếm thụ động các lỗ hổng ứng dụng web.

Chuyên nghiệp:

  • Gỡ lỗi lưu lượng truy cập từ các hệ thống PC, Mac hoặc Linux và thiết bị di động (iOS và Android)
  • Có thể nắm bắt lưu lượng truy cập cục bộ bằng cách sử dụng tên máy của máy làm tên máy chủ chứ không phải là local localhost

Con:

  • Chỉ được hỗ trợ trên Windows

Metasploit

Khung cho phép người kiểm tra bút truy cập và thực hiện các khai thác đã được chứng minh, được lưu trữ trong cơ sở dữ liệu Metasploit. Khung này có cơ sở dữ liệu lớn nhất thế giới về công khai, đã được thử nghiệm khai thác. Nó đã liên tục được xếp hạng trong số mười công cụ ứng dụng bảo mật hàng đầu kể từ khi thành lập. Đồng hồ đo hiển thị kết quả sau khi khai thác đã xảy ra.

Chuyên nghiệp:

  • Cơ sở dữ liệu khai thác lớn
  • Bộ sưu tập rộng rãi các công cụ để thực hiện các bài kiểm tra

Con:

  • Giao diện dòng lệnh

Kali Linux

Kali Linux là công cụ tối ưu để thử nghiệm bút tấn công và là một trong những khung bảo mật phổ biến nhất trong ngành. Tuy nhiên, theo các nhà phát triển, đó không phải là một bản phân phối được khuyến nghị nếu bạn không quen với Linux hoặc đang tìm kiếm một bản phân phối máy tính để bàn Linux đa năng để phát triển, thiết kế web, chơi game, v.v.

Chuyên nghiệp:

  • Kết hợp hơn 300 chương trình kiểm tra thâm nhập và kiểm toán bảo mật

Con:

  • Sẽ không hoạt động trong máy ảo trừ khi bạn sử dụng khóa không dây USB bên ngoài

Máy quét mạng

Máy quét mạng ánh xạ toàn bộ mạng của bạn và xác định những gì được kết nối với nó. Họ có thể tìm kiếm các máy chủ và cổng mở và xác định tất cả các phiên bản phần mềm và phần cứng đang sử dụng. Kiểm tra các công cụ miễn phí sau đây.

Trình ánh xạ mạng (NMap)

Được sử dụng để khám phá mạng và kiểm toán bảo mật. Sử dụng các gói IP thô theo những cách mới để xác định máy chủ nào có sẵn trên mạng, dịch vụ nào họ cung cấp, hệ điều hành nào họ đang chạy và loại bộ lọc / tường lửa gói nào đang được sử dụng. Nó có thể được sử dụng để cung cấp thông tin để lên kế hoạch tấn công thử nghiệm bút. Sự thật thú vị: Nmap (dường như) được xuất hiện trong mười hai bộ phim, bao gồm The Matrix Reloaded, Die Hard 4, Girl With the Dragon Tattoo và The Bourne Ultimatum.

Chuyên nghiệp:

  • Bao gồm các phiên bản dòng lệnh và GUI
  • Chạy trên tất cả các hệ điều hành chính như Windows, Linux và Mac OS X
  • Zenmap là GUI Nmap chính thức, giúp người mới bắt đầu dễ dàng bắt đầu hơn

Con:

  • Không quét proxy
  • Là một máy quét cổng, nó có thể là tiếng ồn ào. Máy quét cổng yêu cầu tạo ra nhiều lưu lượng mạng. Có một mối quan hệ nghịch đảo giữa tàng hình và tốc độ để máy quét cổng có thể làm chậm mạng và / hoặc nổi bật trên mạng như con voi hoạt ngôn trong phòng, tức là ồn ào.

Dây đeo

Giao thức mạng và công cụ phân tích gói dữ liệu và công cụ kiểm tra bút với hệ thống lọc mạnh mẽ. Wireshark có một đội ngũ chuyên gia mạng lưới tình nguyện khổng lồ trên toàn cầu.

Chuyên nghiệp:

  • Cho phép người dùng chỉ định loại lưu lượng truy cập họ muốn xem, ví dụ: chỉ các gói TCP
  • Có thể chụp các gói từ Vlan, Bluetooth, USB và các loại lưu lượng mạng khác Có sẵn cho hầu hết mọi nền tảng, bao gồm Linux, Windows, Mac, Solaris và OpenBSD
  • Tùy chọn bộ lọc mạnh mẽ trong GUI dễ sử dụng

Con:

  • Đường cong học tập ổn định trừ khi bạn có một số hiểu biết về mạng TCP / IP

Máy phân tích mã nguồn tĩnh

Máy phân tích mã tĩnh tự động kiểm tra mã nhanh chóng mà không thực sự thực thi mã. Vì họ chỉ nhìn vào mã nguồn của một ứng dụng, bạn không phải thiết lập toàn bộ ngăn xếp ứng dụng của mình để sử dụng chúng. Các công cụ này thường là ngôn ngữ cụ thể và có thể hỗ trợ các nhà phát triển xác định các vấn đề bảo mật. Kiểm tra đơn vị và đánh giá mã bổ sung cho phân tích mã tĩnh. Hạn chế lớn nhất đối với các công cụ miễn phí này là chúng thường tạo ra nhiều kết quả dương tính giả.

VisualCodeGrepper

Làm việc với C++, C #, VB, PHP, PL / SQL, và Java.

Chuyên nghiệp:

  • Tìm kiếm các vi phạm cụ thể về khuyến nghị của OWASP
  • Cho phép cấu hình truy vấn tùy chỉnh để bạn có thể thêm các chức năng bổ sung

Con:

  • Có một danh sách các lỗ hổng không thể sửa đổi

Phân tích nhẹ về bảo mật chương trình trong Eclipse (LAPSE +)

Plugin Eclipse phát hiện các lỗ hổng của việc tiêm dữ liệu không đáng tin cậy trong Java Ứng dụng EE. Nó hoạt động bằng cách tìm kiếm một lỗ hổng bảo mật trên mạng chìm từ một nguồn dễ bị tổn thương. Nguồn của lỗ hổng đề cập đến việc tiêm dữ liệu không đáng tin cậy, ví dụ: trong các tham số của yêu cầu HTTP hoặc cookie. Thuật ngữ chìm chìm, đề cập đến quá trình sửa đổi dữ liệu để thao túng hành vi của một ứng dụng, ví dụ: một trang HTML.

Chuyên nghiệp:

  • Kiểm tra logic xác thực mà không cần biên dịch mã

Con:

  • Doesn không xác định lỗi biên dịch
  • Giới hạn đối với các IDE Eclipse

Bà la môn

Thẩm vấn Viên ngọc trên tay vịn mã. Nó được sử dụng bởi Twitter, GitHub và Groupon.

Chuyên nghiệp:

  • Dễ dàng thiết lập và cấu hình
  • Quét nhanh

Con:

  • Có thể cho thấy tỷ lệ dương tính giả cao

RIPS

Theo RIPS, bằng cách mã hóa và phân tích tất cả các tệp mã nguồn, RIPS có thể chuyển đổi PHP mã nguồn vào một mô hình chương trình và để phát hiện các bồn nhạy cảm (các chức năng dễ bị tổn thương) có thể bị làm mờ bởi đầu vào của người dùng (bị ảnh hưởng bởi người dùng độc hại) trong suốt chương trình. Bên cạnh đầu ra có cấu trúc của các lỗ hổng được tìm thấy, RIPS cung cấp một khung kiểm toán mã tích hợp. Vào năm 2016, một phiên bản viết lại của RIPS đã được phát hành dưới dạng sản phẩm thương mại của RIPS Technologies, một công ty công nghệ cao có trụ sở tại Đức.

Chuyên nghiệp:

  • Dễ dàng thiết lập và cấu hình
  • Quét nhanh

Con:

  • Phiên bản miễn phí bị giới hạn và chỉ hỗ trợ 15 loại lỗ hổng

FxCOP

Phân tích tập hợp mã được quản lý (mã nhắm mục tiêu .MẠNG LƯỚI Khung thời gian chạy ngôn ngữ chung.) Đây là một ví dụ hay về cách sử dụng các công cụ bổ trợ trong hộp công cụ của bạn. FxCOP, theo excella, hoạt động tốt nhất khi kết hợp với một công cụ phân tích mã tĩnh như StyleCop vì cả hai công cụ này có các phương pháp phân tích mã khác nhau. Style StyleCop chạy với mã nguồn C # nhưng không thể phân tích VB.NET hoặc mã nguồn ngôn ngữ .NET khác. FxCop chạy với các nhị phân được biên dịch .NET nhưng không thể phân tích mã nguồn và các khía cạnh như việc sử dụng đúng dấu ngoặc, khoảng trắng hoặc nhận xét.

Chuyên nghiệp:

  • Siêu dữ liệu hội hoạt động với mã được tạo bằng bất kỳ ngôn ngữ .NET nào
  • Bộ quy tắc mở rộng có sẵn trong hộp

Con:

  • Giới hạn trong siêu dữ liệu lắp ráp
  • Chỉ tạo một loại báo cáo

Tên cướp

Bandit là một kẻ nói dối bảo mật (một chương trình quét mã nguồn và gắn cờ mọi cấu trúc có khả năng là lỗi) cho mã nguồn Python, sử dụng mô-đun ast từ thư viện chuẩn Python. Mô-đun ast được sử dụng để chuyển đổi mã nguồn thành một cây được phân tích cú pháp của các nút cú pháp Python. Bandit cho phép người dùng xác định các kiểm tra tùy chỉnh được thực hiện đối với các nút đó.

Chuyên nghiệp:

  • Cực kỳ tùy biến, ví dụ: nhiều plugin khác nhau có thể bị tắt hoặc một số thư mục nhất định có thể bị loại khỏi quá trình quét
  • Người dùng cũng có thể viết các trình cắm tùy chỉnh của riêng mình

Con:

  • Không có GUI

Công cụ làm mờ

Kiểm tra Fuzz (fuzzing) được sử dụng để xác định lỗi mã hóa và lỗ hổng bảo mật. Nó liên quan đến việc nhập một lượng lớn dữ liệu ngẫu nhiên trong nỗ lực làm cho ứng dụng hoặc mạng bị sập.

Mỹ Mờ Lop (AFL)

Một công cụ kiểm tra fuzz mã nguồn mở, được hỗ trợ bảo hiểm được phát triển bởi Michał Zalewski của Google. Ông mô tả công cụ của mình như là một fuzzer mạnh mẽ kết hợp với một thuật toán di truyền hướng dẫn dụng cụ cực kỳ đơn giản nhưng rắn chắc. AFL đã tìm thấy các lỗ hổng trong các ứng dụng web phổ biến khác nhau, bao gồm Firefox, Flash, LibreOffice, Internet Explorer và Apple Safari.

Chuyên nghiệp:  

  • Cái mà Zalewski gọi là một hip hip, phong cách retro
  • Hiệu quả đã được chứng minh

Con:  

  • Bạn phải là một chút retro để thực sự đánh giá cao GUI (lỗi thời)

Khung làm mờ Sulley

Một công cụ fuzzing phổ biến và khung thử nghiệm fuzz bao gồm nhiều thành phần mở rộng. Điều làm cho nó khác biệt so với các fuzzers khác là nó không hoàn toàn là một công cụ tạo dữ liệu. Nó phát hiện, theo dõi và phân loại các lỗi được phát hiện; có thể fuzz song song, tăng đáng kể tốc độ thử nghiệm; và có thể tự động xác định chuỗi lỗi duy nhất của trường hợp thử nghiệm kích hoạt lỗi. Boofuzz ​​là một ngã ba của khung làm mờ Sulley.  

Chuyên nghiệp:  

  • Hoàn toàn tự động – sau khi gây ra sự cố, nó có thể tự động đặt lại hệ thống về trạng thái bình thường và sau đó tiếp tục làm mờ một trường hợp thử nghiệm mới

Con:

  • Không có bản cập nhật gần đây

Công cụ bẻ khóa mật khẩu

Các công cụ miễn phí này được sử dụng bởi các quản trị viên bảo mật để tìm mật khẩu yếu và dễ bị tấn công có thể dễ dàng bị tin tặc xâm nhập. Ba cuộc tấn công mật khẩu phổ biến nhất là:

  • Từ điển: Sử dụng tệp được cung cấp có chứa danh sách các từ trong từ điển.  
  • Lực lượng vũ phu: Sử dụng danh sách từ điển, thử một cách có hệ thống tất cả các kết hợp có thể cho mật khẩu. Trừ khi kẻ tấn công gặp may mắn, quá trình này có thể mất một lúc, đặc biệt đối với các mật khẩu dài sử dụng kết hợp các chữ cái, số và ký hiệu.
  • Bàn cầu vồng: Hầu hết các cơ sở dữ liệu lưu trữ băm mật mã của người dùng Mật khẩu trong một cơ sở dữ liệu. Không ai có thể xác định mật khẩu người dùng đơn giản bằng cách nhìn vào giá trị được lưu trữ trong cơ sở dữ liệu. Khi người dùng nhập mật khẩu của mình, mật khẩu sẽ được băm và đầu ra đó được so sánh với mục được lưu trữ cho người dùng đó. Nếu hai băm khớp nhau, quyền truy cập được cấp. Bảng băm là một loại bảng tham chiếu được sử dụng bởi tin tặc. Các băm mật khẩu được tính toán trước này được lưu trữ trong bảng để giảm thời gian cần thiết để bẻ khóa mật khẩu. Các bảng cầu vồng tiến thêm một bước bằng cách giảm kích thước của bảng băm, làm cho chúng hiệu quả hơn.  

THC Hydra

THC Hydra là một công cụ hack đăng nhập mạng sử dụng các cuộc tấn công từ điển hoặc vũ phu để thử các kết hợp mật khẩu và đăng nhập khác nhau đối với một trang đăng nhập.  

Chuyên nghiệp:

  • Hỗ trợ một loạt các giao thức bao gồm thư (POP3, IMAP, v.v.), LDAP, SMB, VNC và SSH
  • Hỗ trợ hầu hết các nền tảng chính

Xà beng

Công cụ tấn công Brute-force có thể được sử dụng trong quá trình kiểm tra thâm nhập.

Chuyên nghiệp:

  • Crowbar có thể sử dụng các khóa SSH thay vì kết hợp tên người dùng và mật khẩu thông thường

Con:

  • Chỉ dòng lệnh

John the Ripper

Sử dụng kỹ thuật tấn công từ điển. Nó là một công cụ toàn diện tốt bao gồm một bộ các kết hợp bẻ khóa mật khẩu khác nhau.

Chuyên nghiệp:

  • Khả năng tự động phát hiện các loại băm mật khẩu
  • Hỗ trợ hầu hết các nền tảng chính

OphCrack

Windows cracker mật khẩu dựa trên bảng cầu vồng.

Chuyên nghiệp:

  • Bao gồm mô-đun brute-force cho mật khẩu đơn giản
  • Hỗ trợ hầu hết các nền tảng chính

Công cụ bảo mật WordPress

Các công cụ bảo mật chuyên dụng cho các trang web WordPress có thể có nguồn gốc tại wordpress.org. WordPress phổ biến đến mức có rất nhiều đánh giá cho các plugin, cung cấp một cái nhìn tổng quan khá khách quan về các tính năng của công cụ. Chúng ta hãy xem xét một vài dịch vụ phổ biến nhất.

WordFence

Bao gồm bảo mật đăng nhập; Tính năng chặn IP; quét bảo mật cho phần mềm độc hại và các phần mềm hỗ trợ trên mạng. bảo vệ tường lửa; và các tùy chọn giám sát rộng rãi.

iTheme Security

Được các nhà phát triển mô tả là plugin bảo mật WordPress số 1. Tuy nhiên, hãy đọc các đánh giá tiêu cực trước khi tải xuống plugin này. Một nhà phê bình mắt đại bàng đã chỉ ra rằng khi iTheme thấy mình bị xâm phạm và sau đó bị tấn công vào năm 2016, họ đã triển khai một tường lửa trang web mới từ đối thủ Sucuri. Có vấn đề gì không? Bạn là thẩm phán.

An ninh Sucuri

Điều tốt nhất Sucuri Security là tất cả các tính năng đều miễn phí. Plugin cao cấp đã bị từ chối vào năm 2014 và tất cả các tính năng chính đã được hợp nhất vào plugin miễn phí.

Công cụ quét trang web trực tuyến

Các công cụ miễn phí trực tuyến rất nhanh và dễ sử dụng. Mặc dù chúng không được đảm bảo để xác định một cách cụ thể các lỗ hổng trang web của bạn, nhưng chúng có thể giúp bạn xác định chính xác các khu vực cần điều tra thêm.

Sucuri

Nhập địa chỉ trang web của bạn để có bản tóm tắt miễn phí về các lỗ hổng trang web tiềm năng. Kiểm tra phần mềm độc hại đã biết, trạng thái danh sách đen, lỗi trang web và phần mềm lỗi thời.

Chuyên nghiệp:

  • Không cần nhập địa chỉ email của bạn để nhận kết quả

Kiểm tra WP

Bao gồm danh sách toàn diện các vấn đề của trang web, bao gồm hiệu suất, SEO và bảo mật.

Chuyên nghiệp:

  • Cung cấp nhiều thông tin hơn các công cụ khác. Mất nhiều thời gian hơn để quét (nhưng điều đó là tốt, phải không?)
  • Không cần nhập địa chỉ email của bạn nhưng bạn có thể yêu cầu kết quả được gửi qua email cho bạn

Con:

  • Bạn cần đăng ký dùng thử miễn phí 30 ngày để tìm hiểu cách khắc phục các sự cố nghiêm trọng
  • Giới hạn một lần quét mỗi ngày

Kiểm tra máy chủ SSL Qualys

Thực hiện phân tích sâu về cấu hình của máy chủ web SSL.

Chuyên nghiệp:

  • Không cần đăng ký
  • Cung cấp một danh sách toàn diện về các vấn đề lỗi thời và tương thích SSL

Thanh tra web

Quét trang web để xem nó có độc hại hay không.

Con:

  • Sẽ chỉ quét một trang duy nhất tại một thời điểm

ASUWeb

Không thử bất kỳ chuỗi tấn công hoặc hoạt động độc hại nào khác; nó chỉ đơn giản là thực hiện một số yêu cầu lành tính để xem trang web phản hồi như thế nào.

Chuyên nghiệp:

  • ASafaWeb có một trang web không an toàn chuyên dụng hoàn toàn cho mục đích demo tại notasafaweb.apphb.com mà bạn có thể quét và xem kết quả

Bảo mật.io.io

Công cụ miễn phí này kiểm tra các tiêu đề trang web. Theo nhà phát triển, các tiêu đề phản hồi HTTP mà trang web này phân tích cung cấp mức độ bảo vệ rất lớn. Chẳng hạn, Chính sách bảo mật nội dung (CSP) là một biện pháp hiệu quả để bảo vệ trang web của bạn khỏi các cuộc tấn công XSS. Bằng các nguồn nội dung được phê duyệt trong danh sách trắng, bạn có thể ngăn trình duyệt tải tài sản độc hại.

Chuyên nghiệp:

  • Nhanh chóng và cung cấp mô tả đầy đủ về các tiêu đề bị thiếu và cách khắc phục mọi sự cố

Tiếp theo là đâu?

Truy cập trang web Dự án Đánh giá Máy quét Lỗ hổng Ứng dụng Web (wavsep). Wavsep là một nền tảng đánh giá có chứa một tập hợp các trang web dễ bị tổn thương duy nhất có thể được sử dụng để kiểm tra các thuộc tính khác nhau của máy quét ứng dụng web. Bạn có thể xem các phân tích về cách các máy quét khác nhau, cả miễn phí và thương mại, được thử nghiệm chống lại wavsep tại đây. Kết quả cho thấy mức độ chính xác của các máy quét này trong việc xác định các lỗ hổng phổ biến của trang web và có bao nhiêu thông tin sai lệch mà chúng đưa ra trong các bài kiểm tra điểm chuẩn. Bạn sẽ tìm thấy nhiều công cụ miễn phí được đề cập trong bài đăng này trên trang web của Wavsep.

Chúc bạn thi tốt!

Crackers ngay lập tức bởi elhombredenegro được cấp phép theo CC BY 2.0

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map