• How to detect known Vulnerability of Java or C#?

    The objective of the article is share one tool that can help to detect known CVE (Common Vulnerability Exploit) of your Java or C# library.

    • What security issue it may have with uses of 3rd lib?
    • How to use the tool?
    • What information it can tell?

     

    Security Issue – “Known Vulnerability”

    Uses of known vulnerability to attack the application is one of common approach for hacker. Therefore, when our application use external 3rd party library, we need to check if the 3rd library includes known vulnerability or not.

    The known vulnerability can also refer to CVE “Common Vulnerability Exploit”

    • https://cve.mitre.org/

     

    Scanning Tools to detect CVE of 3rd library

    There is one project running by OWASP. It’s “Dependency check”. It can scan the C# or Java library versions and vendor name and then tell if there is known vulnerability CVE of the existing library files.

    Where to download it?

    http://dl.bintray.com/jeremy-long/owasp/dependency-check-1.2.9-release.zip

    Once the zip is downloaded, unzip to a specific folder. Execute the following command directly.

    Windows

    dependency-check.bat --app "My App Name" --scan "c:\java\application\lib"

    Mac or Linux

    dependency-check.sh --app "My App Name" --scan "/java/application/lib"

    Scanning Results

    Refer for the sample report of the scanning results.

    http://jeremylong.github.io/DependencyCheck/SampleReport.html

     

    Reference

    http://jeremylong.github.io/DependencyCheck/dependency-check-cli/installation.html

    Tags: , , ,

  • Free Web Security Testing ToolSet 網站資訊安全測試工具集

    這篇文章主要介紹一個工具集的VM,這個工具級主要提供 “所有” Web Security 所需要用到的工具。

    這個VM已經預先安裝好100多個網站安全測試工具(免費),只要啟動該VM即可使用。

    資訊安全測試工具主要分為兩大類:

    • 網站測試工具。這類的測試工具可以測試 CSRF, XSS, SQL injection, Cookie Session 等。
    • 主機網路入侵測試:這類的工具包含 port scanning、服務、應用程式弱點入侵等

    更重要的是 “免費”. Yes it’s all free. 這個工具集的主角就是

    Samurai Web Testing Framework http://samurai.inguardians.com/

     

    Linux Virtual Image

    這個工具集全部包含在這個  Linux Image 當中,下載這個 Image 後,用 VMware or VirtualBox 開啟就可以使用   SamuraiWTF_3.0.zip

    Download SamuraiWTF3.2.zip (3.3 GB)

    包含哪些工具呢?

    超過100個工具。有網路偵查相關的工具、主機入侵測試的工具、也有瀏覽器相關的套件、當然還有網站安全測試等工具。

    SamuraiWTF

     

     

    工具的教學

    對於這些工具不熟悉的,也可以透過下列的教學投影片學習  SamuraiWTF Course v18 – Slides.pdf

    Tags: , ,

  • 如何準備一個資訊安全測試環境

    我們知道沒有經過允許的資訊安全測試行為就會變成駭客攻擊行為

    那麼如果要練習網站資訊安全測試有哪些網站可以練習呢?

    這邊舉幾個”線上”供練習的網站,與一個可以讓你在本機虛擬環境中建立的網站

    這些網站都刻意設計成弱點很多的網站,讓您可以比較容易瞭解網站弱點與測試的過程

     

    OWASP Broken Web Application

     http://sourceforge.net/projects/owaspbwa/files/

    首先要介紹的是 OWASP 的 Broken Web

    這是一個 Virtual Machine 的環境,下載啟動之後內建超過 10個以上的具有許多弱點網站

    包含 WebGoat..與 Mutillidae 等,不需要自己架設網站或是其他額外的設定就可以使用

    很適合內部網站資訊安全教育訓練使用,也適合防火牆的測試。

    想像公司要設定防火牆,保護內部網站安全

    就可以用這些具有許多弱點的網站,

    並且試著由 Internet 做入侵測試看看防火牆是否可以有效阻擋該入侵攻擊

     

     

     

    如果不想花時間下載 Virtual Machine 的環境,

    希望可以直接在 Inetnet網站上測試,可以參考下列網站:

    (沒有經過允許的情況下,任意進行資訊安全測試 Inernet 網站,是違法的喔!)

     

     

    這些網站都是因為廠商為了測試與 Demo Web Security Scanner,所設立的網站

    當然,這些網站都具有許多顯而易見的資訊安全風險,

    目的也是為了讓大家容易了解資訊安全風險所帶來的風險與影響。

     

    小結

    這篇文章介紹如何善用一些資源,模擬一個資訊安全風險的網站以供測試、資安訓練。

    主要分為兩大類:

    一類是 Virtual Image ,下載之後用 VirtualBox or VMplayer 啟動就可以啟動該網站,

    另一類是相關 Web Security Scanner 廠商所提供的線上網站,這些網站有許多顯見的弱點供測試練習

     

     

    Tags: , , ,