Статья подготовлена для студентов курса «Пентест. Практика тестирования на проникновение» в образовательном проекте OTUS.
Как специалисту по пентесту понять, что перед ним уязвимый проект? Давайте рассмотрим три популярных комплексных инструмента — программы, которые отличаются расширенной функциональностью, что позволяет использовать их для комплексной проверки возможных уязвимостей.
Burp Suite
Представляет собой популярную платформу для тестирования безопасности web-приложений. По сути, Burp Suite — это комплекс взаимосвязанных компонентов, обеспечивающих полноценный аудит безопасности проекта. При этом инструмент доступен из коробки на Kali Linux.
Функциональные возможности Burp Suite не ограничены поиском файлов, подбором паролей, перехватом, фаззингом и модификацией запросов. Вы можете найти дополнительные расширения в магазине BApp Store, что позволит вам повысить функциональность исходного инструмента. Также доступен выбор из 3-х доступных планов.
Metasploit
Metasploit Framework представляет собой популярную и открытую платформу, предназначенную для создания и отладки эксплойтов для различных ОС. Она содержит в себе огромнейшую базу опкодов, а также предоставляет возможность скрывать атаки от систем IDS/IPS. В результате тестирование на уязвимости приближено к реальным сценариям в максимальной степени.
Проект насчитывает более семисот контрибьюторов и работает на Windows, Linux и прочих UNIX-подобных операционных системах.
OWASP ZAP
Это кроссплатформенный инструмент, имеющий открытый исходный код и поддерживаемый специалистами по безопасности со всего мира. OWASP ZAP довольно удобен в применении и имеет достаточно много общих черт, если сравнивать с Burp Suite. Его интерфейс состоит из нескольких окон, плюс присутствует поддержка 13 языков, в том числе и английский.
OWASP ZAP даёт возможность автоматически находить уязвимости в безопасности web-приложений непосредственно во время разработки и тестирования приложений. А это значит, что инструмент пригодится не только специалистам по пентесту, но и веб-разработчикам.
Хотите протестировать учебный процесс заранее? Регистрируйтесь на день открытых дверей курса 4 августа в 20:00 мск. Участие бесплатное.