Uncle_Sam Mar 20 2010 at 07:44

Google выпускает skipfish — сканер безопасности сетевых приложений

1 min

346

Information Security*

+77

Comments 71

bondbig Mar 20 2010 at 08:25

ох, шикарно! Попробуем обязательно.
Заодно вопрос к хабрасообществу: подскажите какое-нибудь веб-приложение, которое содержит максимальное количество уязвимостей, т.е. специально заточенное для тестирования эффективности сканеров, IDS-ок и Web Application Firewall'ов. Смысл в чем: есть аццки уязвимое веб приложение (в идеале регулярно обновляющееся, добавляя свежие типы и варианты уязвимостей), есть задача протестировать эффективность WAF'а и/или сканера веб-уязвимостей, натравливаем сканер на это приложение напрямую, получаем результат — 100500 уязвимостей найдено, затем прикрываем приложение средством защиты (WAF'ом), сканируем, смотрим — осталось незакрытыми 326 уязвимостей, значит эффективность защиты ~99.7%. Или тестируем сам сканер на тщательность: знаем, что приложение содержит 100500 уязвимостей, один сканер находит 28%, другой 76%, третий 83%. Выбор сканера очевиден.
Я смог найти только dwva (damn vulnerable web app), но в нем совсем мало разновидностей уязвимостей, по большому счету только CSS и SQL Inj. Где бы найти более продвинутое приложение такого класса?

Nevkontakte Mar 20 2010 at 12:21

php-nuke старых версий.

bondbig Mar 20 2010 at 12:25

да нет же, мне не нужно просто «какое-нибудь уязвимое приложение», таких масса. Нужно специализированное, где каждая уязвимость проанонсирована и задокументирована, более того — специально внесена, и где есть большой набор разных типов уязвимостей

r3verser Mar 20 2010 at 12:43

Mutillidae

bondbig Mar 20 2010 at 12:59

спасибо, похоже это то что нужно, будем тестить.

itspoma Mar 24 2010 at 01:06

CSS и SQL Inj

не css, а xss…

bondbig Mar 24 2010 at 07:22

да, вы правы, опечатка. Я просто сам составил аббревиатуру от «Cross-Site-scripting», но чтобы ее не путали с «Cascade-Style-Sheet» применяют букву «X»

UFO just landed and posted this here

cashby Mar 20 2010 at 12:23

Вам самому-то не надоело ваше нытье?
Автору — большое спасибо, интересный инструмент, надо будет опробовать.

MniD Mar 20 2010 at 12:59

Поздравляю, с 13-го января этого года вы смогли выбиться на -1 место… такое уметь надо… ^_^
Надеюсь тут удаляют хоть иногда пользователей которые в топе -10…

UFO just landed and posted this here

spanishgipsy Mar 20 2010 at 13:16

хаха)) душОнке

-16

UFO just landed and posted this here

spanishgipsy Mar 20 2010 at 13:21

)) это было написано специально для тебя

-14

UFO just landed and posted this here

spanishgipsy Mar 20 2010 at 13:28

а ты бреешь лобок или может быть даёшь в жопу?

feb-web.ru/feb/ushakov/ush-abc/05/us181914.htm

всё, ацтань

-18

UFO just landed and posted this here

spanishgipsy Mar 20 2010 at 13:37

Ну какой же ты долгий ))) Ты до сих пор не понял моего прикола?

Я обозвал твою дУшеньку душОнкой. Теперь понятно?

-11

UFO just landed and posted this here

spanishgipsy Mar 20 2010 at 13:24

)) не приятно познакомиться

-9

ayambit Mar 20 2010 at 19:36

Не надо их удалять, а то будет рафинировано и скучно. Все таки они не просто в топе "-10", но еще и вызывают, хм, горячие дискуссии.

imps Mar 20 2010 at 15:24

вы быть может и пытаетесь доказать что вы не тролль,
но в таком случае — к чему тут ваш коментарий, кроме как для провокации.
Не вижу в нём другого умысла. Откройте мне глаза.

UFO just landed and posted this here

imps Mar 20 2010 at 16:29

вы видимо не поняли вопроса, я уточню:
С какой целью вы написали свой комментарий?

При желании, можно провоцировать себя биться и башкой об стену, утверждая, что стена начала первой, чего я вам и желаю.

и часто это с вами случается?

-1

UFO just landed and posted this here

imps Mar 20 2010 at 20:05

Во-первых по части занудства вы датите фору здесь многим, во-вторых разница в пару-тройку лет не даёт вам права называть меня мальчиком, совершенно меня не зная.
Можете продолжать отвечать уклончиво, но тогда не удивляйтесь, что с вами «занудно спорят» и считаю троллем.

4NT1P0V Mar 20 2010 at 12:13

Чтож неплохая новость для веб мастеров!

marchenkovdmitry Mar 20 2010 at 12:18

Linux, FreeBSD, MacOS X и Windows (требуется Cygwin)
Кросс платформенность-это хорошо!

xvoland Mar 21 2010 at 03:46

кто-то собрал под Windows?

xvoland Mar 21 2010 at 05:36

Удалось запустить!!!

Это круто!!!

usatikov Mar 20 2010 at 12:25

Это не Google выпускает skipfish, просто проект размещен на Google сode.

-2

kastaneda Mar 20 2010 at 12:29

нет, все верно

skipfish — web application security scanner
Written and maintained by Michal Zalewski <lcamtuf@google.com>.
Copyright 2009, 2010 Google Inc, rights reserved.
Released under terms and conditions of the Apache License, version 2.0.

usatikov Mar 20 2010 at 14:10

Точно. Прошу прощения =)

UFO just landed and posted this here

FTM Mar 20 2010 at 12:28

обязательно попробую в действии. если будет время, напишу обзор.

Closer Mar 20 2010 at 12:43

Странно как-то… Разработчик опубликовал исходники в архиве, а в SVN-е пусто…

pento Mar 20 2010 at 13:41

О, попробуйем-с

litos Mar 20 2010 at 14:11

Вообще было бы круто если бы эту утилиту добавили в инструменты для вебмастеров и слали mail на контактный адрес что «вот в вашем сайте вот такая и такая дыра есть»

egorinsk Mar 20 2010 at 14:51

Надо признать, иногда Google выпускает очень хорошие и аккуратно сделанные вещи: под виндой и Cygwin скомпилировалась на раз (установить пару библиотек через GUI проблемой ника не назовешь), и даже цветныеми буквами пишет в консоли.

Кучу полезных опций уже заметил, думаю, стоит все свои сайты так тестировать.

xvoland Mar 21 2010 at 03:46

как вы собрали?

xvoland Mar 21 2010 at 05:10

Спасибо, уже не нужно — разобрался

kozyabozya Mar 20 2010 at 14:52

интересный инструмент, спасибо

чтобы скомпилить на debian, нужно: libssh-dev, libidn11

molodoy Mar 20 2010 at 14:57

Под бубунтой не могу скомпилить. ошибки начинаются с:

skipfish.c: В функции ‘main’:
skipfish.c:143: предупреждение: неявная декларация функции ‘SSL_library_init’
http_client.c:36:25: error: openssl/ssl.h: No such file or directory
http_client.c:37:25: error: openssl/err.h: No such file or directory
http_client.c:38:18: error: idna.h: No such file or directory

оба вам указанных пакета стоят, не поможете?

kozyabozya Mar 20 2010 at 15:07

на виртуальной убунте server 9.04 встало после пакета libidn11-dev

провертье что точно стоит libssh-dev, проблема в нем: error: openssl/ssl.h: No such file or directory

molodoy Mar 21 2010 at 18:20

Точно стоит.

molodoy Mar 22 2010 at 19:32

Если кто-то столкнется с моей ошибкой, решилось установкой libssl-dev.

kozyabozya Mar 22 2010 at 20:24

точно, это я ошибся между libssl и libssh

ademaro Mar 20 2010 at 15:08

Была такая же ошибка, поставил libssh-dev (и пару зависимостей) из репов, всё скомпилилось (Ubuntu 9.10)

molodoy Mar 21 2010 at 18:21

Да, я тоже думал, что все разрешится установкой libssh-dev
Не помогает :(
убунта 9.04
Linux mo-desktop 2.6.28-15-generic #52-Ubuntu SMP Wed Sep 9 10:49:34 UTC 2009 i686 GNU/Linux

kozyabozya Mar 20 2010 at 15:09

root@ubuntu:~# cd /install/
root@ubuntu:/install# wget skipfish.googlecode.com/files/skipfish-1.05b.tgz
--2010-03-20 12:06:49-- skipfish.googlecode.com/files/skipfish-1.05b.tgz
Resolving skipfish.googlecode.com… 66.102.13.82
Connecting to skipfish.googlecode.com|66.102.13.82|:80… connected.
HTTP request sent, awaiting response… 200 OK
Length: 180023 (176K) [application/x-gzip]
Saving to: `skipfish-1.05b.tgz'

100%[==================================================================================>] 180,023 300K/s in 0.6s

2010-03-20 12:06:50 (300 KB/s) — `skipfish-1.05b.tgz' saved [180023/180023]

root@ubuntu:/install# tar -zxf skipfish-1.05b.tgz
root@ubuntu:/install# cd skipfish/

root@ubuntu:/install/skipfish# uname -a
Linux ubuntu 2.6.28-11-server #42-Ubuntu SMP Fri Apr 17 02:48:10 UTC 2009 i686 GNU/Linux

root@ubuntu:/install/skipfish# make
cc skipfish.c -o skipfish -Wall -funsigned-char -g -ggdb -D_FORTIFY_SOURCE=0 -O3 -Wno-format http_client.c database.c crawler.c analysis.c report.c -lcrypto -lssl -lidn -lz
http_client.c:38:18: error: idna.h: No such file or directory
http_client.c: In function ‘parse_url’:
http_client.c:275: warning: implicit declaration of function ‘idna_to_ascii_8z’
http_client.c:275: error: ‘IDNA_SUCCESS’ undeclared (first use in this function)
http_client.c:275: error: (Each undeclared identifier is reported only once
http_client.c:275: error: for each function it appears in.)
make: *** [skipfish] Error 1

root@ubuntu:/install/skipfish# apt-get install libidn
Reading package lists… Done
Building dependency tree
Reading state information… Done
E: Couldn't find package libidn

root@ubuntu:/install/skipfish# apt-get install libidn11
Reading package lists… Done
Building dependency tree
Reading state information… Done
libidn11 is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 15 not upgraded.
root@ubuntu:/install/skipfish# apt-get install libidn11-dev
Reading package lists… Done
Building dependency tree
Reading state information… Done
The following NEW packages will be installed:
libidn11-dev
0 upgraded, 1 newly installed, 0 to remove and 15 not upgraded.
Need to get 614kB of archives.
After this operation, 1077kB of additional disk space will be used.
Get:1 us.archive.ubuntu.com jaunty/main libidn11-dev 1.10-3 [614kB]
Fetched 614kB in 1s (509kB/s)
Selecting previously deselected package libidn11-dev.
(Reading database… 63065 files and directories currently installed.)
Unpacking libidn11-dev (from .../libidn11-dev_1.10-3_i386.deb)…
Processing triggers for man-db…
Setting up libidn11-dev (1.10-3)…

root@ubuntu:/install/skipfish# make
cc skipfish.c -o skipfish -Wall -funsigned-char -g -ggdb -D_FORTIFY_SOURCE=0 -O3 -Wno-format http_client.c database.c crawler.c analysis.c report.c -lcrypto -lssl -lidn -lz

NOTE: See dictionaries/README-FIRST to pick a dictionary for the tool.

root@ubuntu:/install/skipfish# ls -l
total 864
…
-rwxr-xr-x 1 root root 429335 2010-03-20 12:08 skipfish
…
root@ubuntu:/install/skipfish#

lightcyber Mar 20 2010 at 15:07

Есть скомпиленный под Win?

ZooKeeper Mar 20 2010 at 17:42

cygwin онли

skipfish Mar 20 2010 at 15:58

ндя, по другому назваться они конечно не могли :)

noma4i Mar 20 2010 at 16:37

Автор выкурил чего-то? Этот проект имеет отношение к гуглю только потому что хостится на code.google.com

-4

noma4i Mar 20 2010 at 16:40

замечение: приложение написано в «свободное время». Автор работает в гугле, но более никаких связей нет

-4

unnamed Mar 20 2010 at 16:42

# Written and maintained by Michal Zalewski <lcamtuf@google.com>.
# Copyright 2009, 2010 Google Inc, rights reserved.

code.google.com/p/skipfish/wiki/SkipfishDoc

Michał Zalewski (born 19 January 1981) is a «white hat» hacker and computer security expert from Poland.
Zalewski is an employee of Google Inc.

en.wikipedia.org/wiki/Micha%C5%82_Zalewski

Uncle_Sam Mar 20 2010 at 16:43

Читайте внимательно. Я курю табак.

priestley Mar 20 2010 at 19:09

Не компилится на маке:

cc skipfish.c -o skipfish -Wall -funsigned-char -g -ggdb -D_FORTIFY_SOURCE=0 -O3 -Wno-format http_client.c database.c crawler.c analysis.c report.c -lcrypto -lssl -lidn -lz
http_client.c:38:18: error: idna.h: No such file or directory
http_client.c: In function ‘parse_url’:
http_client.c:275: warning: implicit declaration of function ‘idna_to_ascii_8z’
http_client.c:275: error: ‘IDNA_SUCCESS’ undeclared (first use in this function)
http_client.c:275: error: (Each undeclared identifier is reported only once
http_client.c:275: error: for each function it appears in.)
report.c: In function ‘copy_static_code’:
report.c:744: warning: passing argument 3 of ‘scandir’ from incompatible pointer type
make: *** [skipfish] Error 1

kozyabozya Mar 20 2010 at 19:56

нужен libidn

fstab Mar 20 2010 at 20:48

Сделайте
wget ftp.gnu.org/gnu/libidn/libidn-1.18.tar.gz
tar zxf libidn-1.18.tar.gz
cd libidn-1.18
./configure
make
sudo make install
cd ../skipfish
make

заработает.

priestley Mar 20 2010 at 21:03

Спасибо, вроде работает :)

UFO just landed and posted this here

crtman Mar 21 2010 at 00:09

Для установки на маке с использованием библиотек из macports, нужно немного поправить Makefile (добавления выделены жирным):

CFLAGS_GEN = -I/opt/local/include -Wall -funsigned-char -g -ggdb -D_FORTIFY_SOURCE=0
CFLAGS_DBG = $(CFLAGS_GEN) -DLOG_STDERR=1 -DDEBUG_ALLOCATOR=1
CFLAGS_OPT = $(CFLAGS_GEN) -O3 -Wno-format
LDFLAGS = -L/opt/local/lib -lcrypto -lssl -lidn -lz

easyman Mar 21 2010 at 01:54

Что поискать в Google чтобы запустить под windows?

OLS Mar 21 2010 at 02:16

cygwin

+ доставить в нем
gcc
libidn
openssl

webportal Mar 21 2010 at 11:46

Как его на Cygwin скомпилить??? Помогите плииз.

OLS Mar 21 2010 at 20:52

Зайти в каталог с распакованными исходниками и выполнить

gcc skipfish.c -o skipfish -Wall -funsigned-char -g -ggdb -D_FORTIFY_SOURCE=0 -O3 -Wno-format http_client.c database.c crawler.c analysis.c report.c -lcrypto -lssl -lidn -lz

abo Mar 21 2010 at 13:19

гугл выпускает софт для ddos? 2000 запросов в сек это нечто. На странице Service Unavalible нет уязвимостей

Sicness Mar 22 2010 at 17:41

Может кто-нибудь соберет .deb и поделится?

dbarashev Mar 23 2010 at 22:18

Поддержу протестующих. Google не имеет отношения к этому проекту, за исключением того что его написал один из инженеров Google в свободное время. С таким же успехом можно писать «Google выпустил новую версию Vim», только лишь на основании того что Moolenaar там работает.

Sindorian Mar 24 2010 at 23:31

Для компиляции в windows, нужно установить Cygwin и доставить в него следующие пакеты:
— gcc
— libidn
— openssl
— zlib
— make

Далее из Cygwin заходим в папку skipfish и набираем «make». После этого в папке появится exe-шник.

Show the best of all time