Todos os posts tagados pen testing

Identificar CMS com WhatWeb

por David Sopas em 31 de Maio de 2010 em Curtas, Ferramentas com 2 Comentários Tweet

WhatWeb é uma ferramenta que pode auxiliar um pen tester, numa simulação de um ataque real a um site, a obter informações sobre as aplicações web instaladas.
Com cerca de 80 plugins instalados, o WhatWeb consegue detectar desde simples Powered by XYZ, a assinaturas ou padrões mais complexos.

Podem descarregar o WhatWeb no site oficial ou apenas consultar mais informações.

SQLFury - SQL Injection Scanner

por David Sopas em 28 de Abril de 2010 em Ferramentas com 0 comentários Tweet

Segundo o site oficial, o SQLFury é uma ferramenta que corre em Adobe Air e que permite realizar alguns testes de intrusão no nosso site ou aplicação web contra técnicas SQL Injection.

Este software suporta base de dados em MySQL, PostgreSQL, Oracle e Microsoft SQL Server e possibilita a extracção de informação, como por exemplo, utilizadores das base de dados, informações das tabelas e colunas completas.

Uma das primeiras aplicações do género em Adobe AIR.

Nos testes que efectuei não encontrou falhas básicas e reportou alguns falsos positivos.
Aguardo por novas versões…

Pentesting em aplicações Adobe Flex

por David Sopas em 26 de Abril de 2010 em Artigos, Curtas com 0 comentários Tweet

Os slides da apresentação de Marcin Wielgoszewski no OWASP NYC Chapter de como fazer testes de intrusão em aplicações baseadas em Adobe Flex.

OWASP @ ISCTE-IUL

por David Sopas em 21 de Abril de 2010 em Artigos, Eventos com 0 comentários Tweet

Conforme anunciado aqui no meu blogue, e que infelizmente não pude estar presente, Carlos Serrão rapidamente colocou online as apresentações do OWASP @ ISCTE-IUL.

OWASP @ ISCTE-IUL, OWASP e OWASP Portugal

OWASP @ ISCTE-IUL, OWASP Top 10 2010

OWASP@ ISCTE-IUL, Segurança em PHP

OWASP @ ISCTE-IUL, Criptografia em PHP

[email protected] iul ferramentas-analise_vulnerabilidades

Estes workshops são gratuitos e proporcionam uma excelente oportunidade para trocar ideias e conhecimento.

Select For XML SQL injection

por David Sopas em 6 de Abril de 2010 em Ferramentas com 1 Comentário Tweet

O Select For XML SQL Injection é uma nova* técnica de SQL Injection que permite extrair, de uma forma eficaz e rápida, toda a informação de um servidor de base de dados MSSQL Server 2005/2008.

Esta técnica, baseada na clausula FOR XML, permite converter o conteúdo de uma tabela em uma string simples e por isso, todo o conteúdo pode ser acrescentado num campo, injectando uma subquery num campo vulnerável numa aplicação web.

O SFX-SQLi é uma ferramenta interessante que vai auxiliar no pen testing neste tipo de SGBD.

Podem fazer o download do código fonte ou da versão compilada [aqui], tal como o artigo sobre For XML SQL Injection [aqui].
Para os mais desconfiados coloco [aqui] a avaliação do VirusTotal.

* Embora seja uma técnica pouco divulgada, já é conhecida pela comunidade de segurança de informação algum tempo.
Numa pesquisa consegui encontrar referências a uma publicação de Dennis Hurst em 2007.