Xakep #305. Многошаговые SQL-инъекции
Организация Mozilla Foundation приступила к созданию open source фреймворка под названием Minion, с помощью которого веб-разработчики смогут тестировать безопасность своих веб-приложений. Планируется, что бета-версия выйдет в I кв. 2013 года.
Фреймворк создан для проверки веб-приложений с помощью известных программ для пентестинга, таких как Zed Attack Proxy (ZAP), Skipfish и Nmap. Эти и другие утилиты для пентестинга будут интегрированы во фреймворк как плагины.
Специалист по безопасности Иван Бойли (Yvan Boily) из Mozilla пишет в личном блоге, что фреймворк Minion создан для разработчиков, в том числе для разработчиков из Mozilla, чтобы «делать ужасные вещи с их сайтами и приложениями, которые они пишут». Идея в том, что тестирование на безопасность будет интегрировано в процесс веб-разработки, так что потенциальные проблемы можно заметить на самом раннем этапе.
Окончательная версия Minion будет работать «по нажатию кнопки», то есть с полностью автоматизированными процедурами. Более подробно о фреймворке см. в презентации Бойли на видео.
Естественно, фреймворк Minion будут запускать не только на своих, но и на чужих сайтах. Разработчики сейчас думают над тем, как защитить программу от нецелевого использования.
