Ratproxy

Автор: admin

Комментарии:

Добавлен: 19 февраля 2016

Ratproxy является полуавтоматическим, в основном пассивным инструментом аудита безопасности веб-приложений.
Предназначен для дополнения активных сканеров и ручных прокси, и оптимизирован для точного и чувствительного обнаружения и автоматического аннотирования потенциальных проблем связанных с безопасностью шаблонов дизайна, основываясь на наблюдении за трафиком в сложных web2.0 окружениях.

Ratproxy находит и и приоритизирует широкие классы задач безопасности, такие как рассмотрение модели межсайтового скриптинга, XSSI, проблемы обслуживания контента, защита от XSRF и XSS.
Ratproxy предлагает несколько важных преимуществ по сравнению с более традиционными методами:

Отсутствие риска сбоев. В стандартном режиме данный инструмент не генерирует много симулирующего атаку трафика. Активные сканеры могут вызвать условия DoS или стойкие XSS, следовательно плохо подходят для работающих систем.
Низкие эксплуатационные затраты и высокие показатели. По сравнению с активными сканерами и полностью ручным прокси тестированием, ratproxy занимает меньше времени и меньше пропускной способности для работы и даёт хорошее представление о внутренней работе и потенциальных уязвимостях. Он также предоставляет последовательный и предсказуемый охват доступных пользователям функций.
Сохранность управления потоком. Тихое следование браузеру, покрывающего защищённые случаи, во время других операций действительных только при определенных обстоятельствах, или во время динамических событий, таких как кросс-доменное раскрытие данных Referer значительно возрастает. Сканеры грубой силы и fuzzer обычно не имеют надёжных способов изучения этих областей.
Поведение скриптов на данных WYSIWYG. Использование в браузере интерфейсов JavaScript и обработчиков событий изучается именно в такой степени, без сложных догадок или моделирования. Активные сканеры часто имеют серьёзные затруднения при исследовании JSON ответов, поведения XMLHttpRequest(), UI-triggered event data flow, и тому подобного.
Простой процесс интеграции. Этот прокси можно прозрачно встроить в существующее ручное тестирование безопасности или в интерфейс QA без введения серьёзных настроек.