WSSAT - Ferramenta de Avaliação de Segurança do Serviço Web
WSSAT - Ferramenta de Avaliação de Segurança do Serviço Web
O WSSAT é uma ferramenta de varredura de segurança do serviço web de código aberto que fornece um ambiente dinâmico para adicionar, atualizar ou excluir vulnerabilidades apenas editando seus arquivos de configuração. Esta ferramenta aceita a lista de endereços WSDL como arquivo de entrada e para cada serviço, ele realiza testes estáticos e dinâmicos contra as vulnerabilidades de segurança. Também faz controles de divulgação de informações. Com esta ferramenta, todos os serviços da web podem ser analisados ao mesmo tempo e a avaliação de segurança geral pode ser vista pela organização.
Os objetivos da WSSAT são permitir que as organizações:
- Execute sua análise de segurança de serviços da Web ao mesmo tempo
- Ver avaliação geral de segurança com relatórios
- Endureça seus serviços da web
Os principais recursos do WSSAT incluem:
Teste dinâmico:
- Comunicação insegura - SSL não utilizado
- Método de serviço não autenticado
- Injeção SQL com base em erro
- Cross Site Scripting
- Bomba XML
- Ataque de Entidade Externa - XXE
- Injeção XPATH
- Mensagem de falha SOAP verificada
Análise estática:
- Esquema XML fraco: ocorrências não consolidadas
- Esquema XML fraco: Espaço de nome indefinido
- Pobre WS-SecurityPolicy: transporte inseguro
- Fraco WS-SecurityPolicy: proteção de token de suporte insuficiente
- Fraca WS-SecurityPolicy: Tokens não protegidos
Fuga de informação:
- Divulgação de informações de servidor ou tecnologia
Os principais módulos da WSSAT são:
- Parser
- Vulnerabilidades Loader
- Analisador / Atacante
- Logger
- Gerador de Relatórios
A principal diferença do WSSAT é criar um ambiente dinâmico de gerenciamento de vulnerabilidades em vez de incorporar as vulnerabilidades no código.
Este projeto foi desenvolvido como Projeto de Termo na Universidade Técnica do Oriente Médio (METU), programa de gerenciamento de gerenciamento de software.
