LINUX.ORG.RU

Re: Программа для тестирования безопасности PHP-сайта

nessus xspider

CombatPenguin ()

Re: Программа для тестирования безопасности PHP-сайта

/dev/hands - бесплатно, но нужно уметь пользоватся.

Стандартные скрипты && директории && ошибки конфигурации апача можно искать nessus, но ПОЛНОЦЕННЫЙ security scanner для активного содержимого написать НЕВОЗМОЖНО - из этого и исходите. Простейший сканер можете написать сами - `grep -Rf ...` и в файлик все вызовы mail*, system и прочих опасных вещей. После запуска - сильно думать вокруг выданных строчек.

nblx ()
Ответ на: Re: Программа для тестирования безопасности PHP-сайта от nblx

Re: Программа для тестирования безопасности PHP-сайта

Ну почему, можно как минимум на страничках перебором искать места, где используются GET/POST параметры и пытаться туда всякую фигню напихать.

suser ()
Ответ на: Re: Программа для тестирования безопасности PHP-сайта от suser

Re: Программа для тестирования безопасности PHP-сайта

> Ну почему, можно как минимум на страничках перебором искать места, где используются GET/POST параметры и пытаться туда всякую фигню напихать.

Вы пытаетесь испортить или починить? :-)

nblx ()
Ответ на: Re: Программа для тестирования безопасности PHP-сайта от suser

Re: Программа для тестирования безопасности PHP-сайта

> Я пытаюсь найти то, что нужно чинить. :)

Метод я описал. grep и смотрите на то, как у вас получаются передаваемые параметры.

nblx ()
Ответ на: Re: Программа для тестирования безопасности PHP-сайта от suser

Re: Программа для тестирования безопасности PHP-сайта

> В чужом коде копаться руками не охота

Значит вы никогда не будете уверенны что в коде всё ОК. Никакая программа никогда не сможет угадать насколько сильно затупил PHP-кодер в конкретном месте.

Как вариант для личного успокоения - сделайте единую обработку принимаемых переменных на тему соответствия ожидаемому. Срезайте HTML-тэги в принимаемом (если нельзя все - только опасные). Режте непечатные символы, нечётное количество кавычек, точки со слешами и т.п.

Только без ручного анализа кода всеравно нельзя будет сказать что это безопасно. :-)

nblx ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Security