Sicurezza  »  Articoli  »  Tecniche di sicurezza 

Nikto

Sistema operativo: Windows, Linux, Unix
Tipologia prodotto: GPL
Sviluppatori: CIRT.net

Ricerca errori di configurazione, file e script noti, software obsoleto su HTTP e HTTPS a livello di web server. È completamente aggiornabile via Internet e dispone di un buon database costantemente aggiornato.

Sebbene non analizzi direttamente l'applicazione è considerato uno degli strumenti Open Source migliori con cui iniziare la verifica di software online; ovviamente dopo aver verificato il server è necessario approfondire l'applicazione con altri strumenti.

Burp Suite

Sistema operativo: Windows, Linux, Unix
Tipologia prodotto: Freeware
Sviluppatori: Portswigger.net

Una suite completa di strumenti per testare il livello di sicurezza delle applicazioni web. È interamente sviluppata in Java e non necessita di nessuna installazione. Per chi si occupa professionalmente di sicurezza informatica rappresenta uno strumento ideale per eseguire dei test sulle applicazioni; il suo utilizzo implica però una buona conoscenza sull'argomento oltre che una buona capacità pratica.

La suite è composta da quattro componenti (proxy, spider, repeater e intruder) che interagiscono tra loro e permettono di manipolare le richieste HTTP.

Burp proxy permette di intercettare le richieste HTTP/HTTPS che dal browser vengono inviate verso il server; in questo modo è possibile ispezionare e modificare tutti i parametri.

Nella figura successiva si vede come la richiesta verso sicurezza.html.it, effettuata tramite il browser, è intercettata dal proxy locale che mostra in maniera dettagliata i parametri della request. A questo punto si potrebbe editare direttamente qualche parametro oppure inviare la richiesta agli altri strumenti della suite.

Figura 3: l'intrefaccia di Burp Proxy
(clic per l'ingrandimento)

Burp spider è un web spider usabile per enumerare le pagine ed i contenuti dell'applicazione in esame.

Burp repeater è uno strumento manuale per manipolare le richieste e inviarle più volte; una comoda funzione permette poi di visualizzare la risposta del server sotto forma di sorgente o di pagina html renderizzata. Questo componente è il più utile dell'intera suite, nel caso si vogliano modificare dei parametri di input (variabili in GET/POST, header field, cookie) per tentare di aggirare protezioni o immettere istruzioni dannose.

Figura 3: l'intrefaccia di Burp Repeater
(clic per l'ingrandimento)

Burp intruder permette invece di compiere attacchi semi automatici verso una web application. Con questo strumento è possibile selezionare dei parametri in maniera dinamica, modificarne il contenuto e inoltrare più volte la richiesta verso il server; una comoda funzione di riconoscimento basata su espressioni regolari determina il risultato della pagina e fornisce un comodo report. Con questa funzionalità è possibile implementare in pochi click degli attacchi Brute Force verso pagine di login.

Terminiamo questo appuntamento invitando il lettore a provare di persona tutti gli strumenti presentati, per scoprire quale si adatta meglio al contesto applicativo in analisi. Le versioni demo o limitate nel tempo sono una buona opportunità per valutare i prodotti prima di procedere ad un eventuale acquisto.

Altri articoli

Altre guide

Altre newsletter