|
Принцип работы сканера web-уязвимостей.
Здравствуйте.
Хочу написать на пхп свой сканер web-уязвимостей (xss,sql,php-inj) и задумался над принципом его работы. Тупо получать исходный код страницы - выдирать регуляркой все ссылки данного сайта с параметрами и потом в место параметров подставлять спецзапросы - не айс, потому что тогда не учитываются данные, передающиеся методом POST... Подскажите пожалуйста более действенные методы, которые используются в сканерах. Исходные коды на пыхе приветствуются :) |
Поиск рулит:
http://forum.antichat.ru/showthread.php?t=33950 https://forum.antichat.ru/showthread.php?t=112854 https://forum.antichat.ru/showthread.php?t=70035 |
Первая ссылка более-менее по теме, но на вопрос я там ответа не получил - там принцип получения всех параметров и форм не описан. Остальные: описание сканера и сканера портов - не по теме.
|
Вообще - писать такие вещи на php самый настоящий изврат.Это нужно писать на компилируемых языках, темболее для хорошего сканера нужна много поточность,которой в php нет(кроме тупой имитации).Так что советую пользоваться уже написаными и не мучать себя и других.
|
сканер будет онлайн-сервисом. Писать на asp.net не позволительно. К тому же в целях - саморазвитие, поэтому замученных не держу в этом топике
|
действенный метод посмотреть как работают уже существующие сканеры.
acunetix wvs, watchfire appscan и т.п. |
Это собственно я и пытаюсь у вас узнать :)
|
сканнер как онлайн сервис??? а о нагрузке сервака ты подумал... твой сервис уйдет в даун при первых 10 пользователях... такие вещи пишутся как говорили или на компилируемых языках или хотябы на языках которые выполняются на стороне клиента java, javascript, action script...
|
Цитата:
|
схема работы проста: в посылаются гет и пост запросы, затем парсится ответ на наличие ошибок.. по ошибкам выявляется тип уязвимости...результат в лог
и как уже не раз сказано выше на php лучше такого не делать, потмоу что: 1) ОЧЕНЬ низкая скорость 2) поскольку это будет онлайн сервисом будет ОГРОМНАЯ нагрузка не сервер (одним серваком тут далеко не обойдёшься) я бы посоветовал подучить java и писать на ней |
| Время: 12:36 |