Website prüfen

[DenSchub]

Hallo!

Gibt es ein Proggi (Gratis - wenn möglich) das Websiten auf Sicherheitslücken scannt?
Will mal schauen, ob meine Website sicher ist, will mir aber nicht extra eins kaufen...

Dennis

 

[b4ck]

Nessus..
scannt mit allen plugins auf ~14.000 lücken

 

[DenSchub]

Spuckt der mir aus, was ich dagegen tun kann?

Dennis

 

[Elderan]

Hallo,
evt. hilft folgendes Tutorial: Web Application Auditing Over Lunch

Hier wird ein kleines Audit durchgeführt. Allerdings ist es immer besser, wenn man den Quellcode hat um Lücken zu finden.
Sonst hier im HaBo gibts irgendwo ein Tool, mit dem SQL Injections und XSS Lücken gefunden werden können.

 

[bitmuncher]

Nessus checkt aber nur die Server-Sicherheit und 98% der gescannten Lücken betreffen nichtmal Webserver, sondern andere Server-Applikationen (FTP, Samba, NFS usw.). Direkt für die Website ist Nikto etwas besser geeignet, auch wenn dieser eher das Zusammenspiel von Website und Webserver checkt.

 

[PapaJanus]

Sehr schön ist das Buch "PHP Sicherheit". Ich hab es mir auf der CeBit nach einem Vortrag drüber bestellt aber das sollte mittlerweile auch schon auf Amazon vorhanden sein...

Das Buch erläutert aber auch viele viele ziemlich selbstverständliche Sachen. - Ist deswegen für Fortgeschrittene eher langweilig zu lesen.

Grüße

 

[DenSchub]

Ich habe mal N-Stealth Free Edition runtergeladen, der sagt, da sind lücken.
Nessus sagt ohne PlugIns nichts, aber ich kann mir noch nicht jedes PlugIn extra runterladen!
Gibt es da ein Paket?

Dennis

 

[Elderan]

Hallo,
nur weil N-Stalker "Lücken" findet, heißt es nicht, dass dort welche sind.

Wenn beschwert sich gerade, dass url.de/user.php. eine Backup-Datei sein könnte, weil der Webserver so eingestellt ist, dass er .php. in .php abändert, also man sieht die user.php Datei.

Und bei Nexus-Windows werden die Plugins nach dem Installieren runtergeladen und installiert.