Команда специалистов безопасности Google разрабатывает сканер уязвимостей с открытым кодом под названием Lemon и по мере разработки использует его для тестирования своих продуктов. Выпуск на рынок в ближайшем будущем не планируется, сообщил The Register.

Сканер проводит так называемое fuzz-тестирование — автоматически отправляет специальные «вредоносные» строки сценариям веб-приложений с целью обнаружения уязвимостей. В настоящее время готова разработка, проверяющая сценарии на уязвимость к атакам межсайтового выполнения сценариев (CSS/XSS).

На рынке уже существует ряд fuzz-инструментов с открытым кодом, включая разработки проекта OWASP (Open Web Application Security Project). Однако Lemon будет больше напоминать коммерческий продукт, который не только выполняет функцию проверочного инструмента, но и сканирует веб-приложения. По словам Дэнни Алана (Danny Allan), директора исследований безопасности веб-приложений Watchfire, подобного продукта нет на рынке открытого кода. В fuzz-инструментах с открытым кодом, как правило, необходимо указывать конкретные параметры, что сильно замедляет процесс проверки.

Разработчики намерены включить в Lemon функции сканирования на разнообразные виды уязвимостей, включая межпользовательский дефейс (временная подмена содержимого страницы, отображаемой посетителю, для кражи реквизитов), заражение веб-кэша, заражение куки (модификация куки для обхода аутентификации), утечки трассировки стека, а также уязвимости, связанные с кодировкой текста.

Fuzz-инструменты имеют двойное назначение: специалисты ИТ-безопасности компаний могут сканировать свои корпоративные приложения, а хакеры — произвольные сайты. Однако Google не планирует выводить продукт на рынок, по крайней мере, в ближайшем будущем, поскольку он будет «точно настроен на приложения Google».

Источник: http://safe.cnews.ru/
20 июля 2007 года, 18:49