Webサイトの脆弱性をチェックする「skipfish」

「Web サイトの脆弱性をチェックして。」と頼まれた。
一般的にはクロスサイトスクリプティングやSQLインジェクションのチェックをすれば良いけれど
面倒だし、人力では抜け漏れが発生するので Google Code で公開されているセキュリティ調査ツール
「skipfish」を試してみた。

検出できる脆弱性については SkipfishDoc を参照。

インストール

ディレクトリ内に skipfish が生成される。

使い方

で実行。ただし無茶苦茶時間がかかる。祝日を中一日挟んでも終わっていない。
このままだと年越えてしまう。冬休みに入る前に終わってくれないと困るなあ。

オプションで高速化できるらしい

非推奨のオプションとして

• -L:サイトコンテンツからのキーワードの抽出を行わない
• -W-:抽出したキーワードを辞書へと書き込まない

などを指定すると高速化できるらしいが総当たり攻撃のチェックが不十分になるらしい。

プリセットの辞書を使うことでも高速化できるらしい。以下を引数に追加して実行する。
-S dictionaries/extensions-only.wl -W [作成する辞書ファイル]
-S dictionaries/complete.wl -W [作成する辞書ファイル]
ちなみに dictionaries ディレクトリに用意されている辞書は、

• 最小限の「minimal.wl」
• 中程度のキーワードを含む「medium.wl」
• 多くのキーワードを網羅した「complete.wl」
• 拡張子に対するチェックのみ行う「extensions-only.wl」

の4つ。
もちろん時間があれば、辞書指定せず全件チェックをお勧め。

終わった

とりあえず年内中には終わった。トータルタイムは 47 hr 5 min 13 sec 245 ms。
これからレポートの見方を調べなきゃ(笑)

Tweet