Si vous vous souvenez bien, je parlais déjà de cet outil dans l'article où j'exposais plus de 10 outils pour tester le sécurité de son site web. A l'époque de la rédaction de l'article, il n'était encore qu'à sa version beta mais aujourd'hui c'est fait, Acunetix Web Vulnerability Scanner 8 est sorti!

Pour vous résumer, ce scanner de vulnérabilités est l'un des plus connus sur le web. Celui-ci possède un gros panel de fonctionnalités tel que AcuSensor qui est tout nouveau et va grandement aider le développeur a trouver la faille dans son code.

Un manuel est disponible ainsi qu'une petite vidéo pour vous aider à démarrer :

La version 8 a été optimisée afin de nous faciliter la vie. Que vous soyez administrateur système ou développeur, vous vous y retrouverez facilement grâce à son processus d'automatisation.
Dans le lot des nouveautés on retrouve la possibilité de contre-piratage en intégrant les résultats d'analyse dans le pare-feu d'applications web d'Imperva ainsi que de nouvelles méthodes de reconnaissance des vulnérabilités qui naissent sur la toile.

Cette version intègre également un nouveau système de balayage des vulnérabilités plus fiable avec des fonctions automatisées ce qui rend le scan plus rapide avec une configuration plus souple.

Parmi les nouvelles fonctionnalités on retrouve :

• Status du crawler en temps réel (nombre fichiers analysés, etc...)
• Entêtes HTTP personnalisées pour les scans automatiques.
• Configuration des fichiers de logs avancée.
• Rapport détaillé du crawling effectué.
• Status du scan inclus dans le rapport.

Ainsi que de nouvelles caractéristiques qui sont énumérées dans le billet officiel annonçant cette nouvelle version. C'est une application compatible sur la majorité des plateformes Windows mais celle-ci est payante. Néanmoins vous pouvez télécharger la version d'essai.

HconSTF est un framework permettant d'effectuer de nombreux tests de sécurité. La dernière version de cette application est un environnement de tests de pénétration portable capable de vous assister dans toutes les tâches de tests de pénétration, de vulnérabilités et plus encore.

Celui-ci dispose de deux versions basées sur les codes sources des navigateurs Firefox et Chromium appelées respectivement Fire et Aqua.

La plupart des outils proposés par ce framework sont semi-automatiques mais ils faudra quand même user de votre temps cerveau pour savoir vous en servir
Ces outils permettent de réaliser des tâches telles que :

• La collecte d'informations
• Énumération et reconnaissance
• Évaluation des vulnérabilités
• Exploitation
• Élévation de privilèges
• Des rapports complets
• Débuggage web

Après avoir téléchargé et installé la version Fire par exemple, vous arriverez sur un écran de présentation des différents outils disponibles :

Parmi toutes ces fonctionnalités on retrouve :

• Un ensemble d'outils classés et complets
• Des centaines d'outils, de fonctionnalités et de scripts pour effectuer différentes tâches comme SQLi, XSS, Dorks, OSINT pour ne nommer que ceux-là.
• Des outils en ligne qui sont les mêmes que sur la version Aqua.
• Chaque option est configurée pour permettre des tests de vulnérabilité poussés.
• Des outils spécialement conçus pour OWASP.
• Application portable, vous la mettez sur une clé USB et c'est tout bon.
• Support multilingue.
• Fonctionne sans problème avec votre navigateur web actuel sans aucun conflit.
• Fonctionne sur les environnements 32bits et 64bits de Windows XP, Vista et 7 et aussi sur Linux en utilisant Wine.
• Compatible avec les netbooks.
• Gratuit et open source.

IronWASP est un système open source permettant d'effectuer des tests de sécurité assez poussés pour détecter de possibles failles de sécurité dans une application web.

Ce logiciel a été conçu pour être modelé et personnalisé dans la mesure où les utilisateurs peuvent créer leurs propres scanners/règles de sécurité. Pour les débutants pas de panique, vous n'êtes pas obligé d'être un développeur chevronné en Python/Ruby pour utiliser la totalité de la plateforme car la plupart des outils sont assez simples à utiliser.

Au niveau des bibliothèques, IronWASP en utilise des bonnes et en plus open source :

• FiddleCore
• IronPython
• IronRuby
• Jint
• System.Data.SQLite
• Html Agility Pack
• ICSharpCode.TextEditor
• Json.NET
• Diffplex
• jsbeautifylib
• Diff.cs

Ce qu'il y a de vraiment pas mal avec cette application c'est qu'elle permet la création de plugins développés soit en Python soit en Ruby. Comme vous pouvez le voir, la version de Python et Ruby utilisée dans IronWASP est IronPython et IronRuby qui sont respectivement similaires à CPython et CRuby.

Il y a déjà des plugins sympas comme DOMXSS.py (plugin passif qui vérifie le code Javascript dans une réponse HTTP) et SessionAnalysis.py (plugin passif qui va analyser les sessions pour détecter de possibles vulnérabilités). Vous pouvez les retrouver dans le repos des plugins Ruby et le repos des plugins Python.

Comme documentation vous avez sur le site officiel une présentation de l'application et quelques vidéos en guise de tutoriel.

IronWASP est une application taillée pour Windows et requiert au minimum .NET 2.0

Depuis un moment sur mes serveurs, je me sers de la bibliothèque GD en version 2 disponible par défaut sur la plupart des environnements PHP pour manipuler des images comme par exemple pour les redimensionner, changer les formats, etc...

Mais je me suis dit qu'il fallait que je me lance dans l'utilisation d'une bibliothèque plus puissante et maintenue à jour assez souvent. Je me suis tout de suite rappelé de ImageMagick car cette bibliothèque est disponible sur la plupart des hébergements.

Pour savoir si votre hébergeur intègre ImageMagick sur votre hébergement, vous pouvez mettre ces quelques lignes de code PHP pour vérifier :

exec("convert -version", $out);
print_r($out);

Ce code devrait vous retourner la version d'ImageMagick. Dans mon cas ça donne :

Version: ImageMagick 6.6.2-10 2010-06-29 Q16 http://www.imagemagick.org

Passons maintenant au vif du sujet

Lire la suite...

Les partenaires d'iSEC nous ont concocté un bon outil, SSLyze!

Cette application stand-alone écrite en Python va scanner la configuration SSL afin de détecter une mauvaise configuration tout en fournissant à l'utilisateur la possibilité de personnaliser l'application via une interface simple. Cet outil est open source / multi-plateforme va permettre d'identifier les mauvaises configurations comme par exemple une version du protocole périmé sur les serveurs SSL.

Je ne vais pas tarder à rajouter cet outil dans ma grosse liste d'outils pour sécuriser son site web afin de vérifier sa propre configuration.

Et si vous avez du mal à le configurer, c'est que vous n'avez pas lu leur tuto

pauldotcom.com