Я реализую mod_security на сервере apache. Чтобы проверить эффективность защиты, я ищу клиента, который может генерировать набор заранее определенных вредоносных HTTP-запросов. Буду тестировать запросы с и без mod_security включен и на основе журналов узнать, какой процент вредоносных запросов был заблокирован.
Знаете ли вы какие-нибудь хорошие инструменты для создания набора заранее определенных вредоносных HTTP-запросов?
Есть несколько вариантов с бесплатным / открытым исходным кодом. Мой близкий друг, который занимается пентестингом веб-приложений, не использует ни одного из них (за исключением Nessus, а только Professional Feed), поскольку их набор инструментов намного сложнее и содержит множество неопубликованных эксплойтов нулевого дня. Однако они очень дороги и требуют определенных сертификатов / квалификаций для покупки.
Хотя эти инструменты могут и не быть на переднем крае с точки зрения чистого сканирования уязвимостей нулевого дня, все еще существует множество старых, хорошо известных уязвимостей, которые используются ежедневно, так что это, безусловно, даст вам довольно хорошее представление о том, что потенциально может уязвимы в вашей системе, вне зависимости от того, эксплуатируются они или нет (например, обнаруживаются неочищенные параметры, любые неправильные конфигурации и т. д.).
Несс (Профессиональный канал стоит> 1000 долларов в год, но в бесплатной версии все еще есть немало уязвимостей)
Пара вещей, о которых вы можете не знать:
Некоторые сканеры имеют функцию регулирования скорости, но из-за большого количества запросов лучше:
а) протестируйте свое веб-приложение в быстрой сети (LAN);
б) очевидно, что это веб-приложение не должно быть в производстве, и если да, я бы запустил его с тестовым набором данных;
в) иметь достаточно ресурсов для ведения журнала (или вообще отключить его).
Вы также можете периодически проверять онлайн-базы данных уязвимостей для известных эксплойтов; Я периодически ищу любые веб-приложения с открытым исходным кодом, которые я размещаю и отключаю или исправляю по мере необходимости (я смотрю на вас Joomla).