Как проверить сайт на sql уязвимость

Поиск уязвимостей на сайте

Тестирование сайта позволяет обнаружить уязвимости и ошибки, которые могут быть использованы злоумышленниками. Если вы администратор сайта, рекомендуем добавить тестирование на проникновение в свой список инструментов и регулярно выполнять поиск уязвимостей для того, чтобы обеспечить полную безопасность ваших сайтов. Обнаруженные проблемы помогут вам устранить слабые места.

Тестирование безопасности включает очень много различных инструментов и задач. В этой статье охватим основные аспекты поиска уязвимостей на сайте. С помощью этой инструкции вы сможете сохранить свой ресурс в безопасности.

ПОИСК УЯЗВИМОСТЕЙ НА САЙТЕ

Тестирование на проникновение и поиск уязвимостей на сайте подразумевает выполнение нескольких действий. Тут недостаточно запустить один инструмент и проверить сайт, нужен правильный подход, который поможет вам собрать как можно больше информации о безопасности вашей системы.

1. разведка — поиск и сборка информации о вашей сети или серверах;
2. сканирование — на этом этапе нужно проверить сайт на уязвимости опираясь на собранную информацию;
3. эксплуатация — этот шаг необязательный и не всегда нужный тестировщикам на проникновение. Это необходимо, если вам нужно показать реальную опасность уязвимостей;
4. исправление — на этом этапе нужно исправить все найденные уязвимости на вашем сайте.

Дальше рассмотрим, что следует выполнить на каждом из этапов и какие инструменты для этого нужно использовать. Лучше не устанавливать все эти программы отдельно, а использовать уже готовую среду для тестирования на проникновение — Kali Linux. Это специально подготовленный дистрибутив Linux, который уже содержит все необходимые программы. Так вам не придется ничего устанавливать. Вы можете запускать систему из флешки или же установить Kali Linux на жесткий диск.

РАЗВЕДКА

Чтобы узнать, какую информацию о вашей системе могут узнать другие люди, необходимо применять несколько инструментов:

nmap — это один из самых популярных инструментов для сканирования сетей. С помощью него вы можете посмотреть какие сервисы запущены на сервере веб-сайта, какие порты они используют их версии, и даже версию операционной системы. Чтобы посмотреть открытые порты на своей машине выполните такую команду в терминале Kali Linux:

192.168.91.249 — это ip адрес ресурса. Этой командой выведят открытые порты и названия сервисов. Вы можете получить более подробную информацию, например, уже на этом этапе можно собрать много информации о системе. Например, здесь вы можете видеть, что на машине запущен SSH сервер, веб-сервер, службы обмена файлами Samba и прокси сервер на порту 3128. Все они могут быть потенциально уязвимы.

Сканер Nmap позволяет копнуть глубже, с помощью более интенсивного сканирования. Для этого используйте опцию -A:

Тут вы уже увидите намного больше информации, например, версии сервисов, системное время, систему управления контентом и даже версию операционной системы. Также, если будут обнаружены простые уязвимости, такие как слабый пароль FTP, то вы об этом тоже узнаете. Прочитать подробнее как пользоваться Nmap вы можете в отдельной статье.

Также нужно использовать другие доступные источники информации. Важно понять, какая информация о вас доступна в сети и сможет ли злоумышленник получить информацию, к которой у него не должно быть доступа. Вот некоторые сервисы:

1. whois — с помощью этого сервиса вы можете узнать общедоступную информацию о домене, регистратора, владельца и другую контактную информацию;
2. recon-ng — полезный инструмент для анализа, который поставляется вместе с Kali Linux;
3. Maltego Chlorine — это очень популярный инструмент с открытым исходным кодом, предназначенный для сбора информации с открытых источников;
4. Netcraft — полезный инструмент, позволяющий найти поддомены сайта;
5. hackertarget.com/reverse-ip-lookup — позволяет узнать какие еще сайты работают на вашем ip адресе.
6. После того, как вы завершили сбор информации на этапе разведки, нужно перейти к сканированию, непосредственно выполнить поиск уязвимостей на сайте Kali Linux.

СКАНИРОВАНИЕ

Для сканирования часто применяется фаззинг. Суть фаззинга заключается в передачи большого количества случайных данных вашему сайту чтобы попытаться обнаружить уязвимости. Различные инструменты которые мы рассмотрим ниже будут имитировать атаки чтобы проверить уязвимость приложения.

Приложения фаззинга позволяют выявить уязвимости, но для лучшего результата стоит разобраться как работают эти приложения, и в чем состоит ошибка. Если у вас есть доступ к исходным кодам проекта, то вы можете параллельно использовать фаззинг и ручной анализ, чтобы с большей точностью найти проблемы.

Атаки фаззинга работают очень громко поскольку требуют передачи большого количества данных. Система защиты от вторжений заметит их, следует быть осторожным. Дальще рассмотрим инструменты, которые можно использовать.

WPScan — это проект с открытым исходным кодом, написанный на Ruby специально для сканирования WordPress. Он очень прост в использовании и может быть полезным для сайтов, которые используют большое количество плагинов или не обновляются. Утилите не нужен исходный код, она выполняет сканирование удаленно.

Nikto — это сканер уязвимостей для веб-сайтов. Он работает намного дольше чем WPSan, но рассчитан не только на WordPress. Он включает в себя множество плагинов, и во время сканирования будет выполнено очень много запросов. Например, программа может найти файл, который будет выводить информацию phpinfo. Но Nikto генерирует очень много ложных срабатываний, поэтому вам нужно внимательно анализировать вывод.

Burp Suite — это очень мощная программа для поиска уязвимостей на сайте или в веб приложениях. Этот инструмент работает только через веб-браузер. Утилита позволяет проверить все формы, которые есть на сайте, проверить отправку разных заголовков, посмотреть ответы и запросы браузера, выполнить активное сканирование URL, выполнить статический анализ кода jаvascript, а также выполнить поиск XSS уязвимостей на сайте. Это отличный инструмент, но он может показаться сложным.

SQLMap — программа для поиска sql уязвимостей сайта. Вы можете найти все возможные места, где могут быть выполнены SQL инъекции. Например, если вы предполагаете, что в параметре id может быть sql инъекция, используйте такую команду:

Программа будет выполнять тестирование для различных типов баз данных, поэтому вы можете указать только нужную:

$ sqlmap —dbms=MySQL -u http://example.com/?id=1 -p id

Эти команды позволяют проверить поля, указывать различные параметры, такие как базы данных, таблицы или пароли.

ЭКСПЛУАТАЦИЯ

Эксплуатация завершает поиск уязвимостей на сайте и предоставляет из себя использование уязвимостей для получения доступа к системе или данным. В целом, если вы смогли найти дырки в вашей системе безопасности и закрыть их, то больше ничего вам делать не нужно. Но иногда нужно доказать, что проблема действительно серьезна. Рекомендуется не использовать эксплуатацию уязвимостей на производственных системах. потому что это может привести к проблемам. Лучше создать виртуальную машину и уже в ней показывать все, что нужно. Вот некоторые инструменты, которые можно использовать:

• SQLMap — инструмент для поиска sql уязвимостей и их эксплуатации;
• Burp Suite — для поиска XSS уязвимостей и эксплуатации;
• Metasploit — эксплуатация уязвимостей в системе.

Metasploit — это целая среда для проведения тестирования на проникновение, в которой содержится множество готовых эксплойтов. Вы можете найти эксплойты для установленных плагинов или обнаруженных на первом этапе сервисов. Мы более подробно рассмотрим как пользоваться Metasploit в одной из следующих статей.

ИСПРАВЛЕНИЕ

Это заключительный этап поиска уязвимостей. На основе всего того, что было найдено нужно сделать выводы и закрыть все дыры. Когда у вас есть все данные об уязвимых местах. Распределите приоритеты и исправьте все, что нашли. Если эти уязвимости смогли найти вы, значит их может найти любой другой.

ВЫВОДЫ

В этой статье мы сделали очень интенсивный курс в поиск уязвимостей на сайте и рассмотрели основные программы для поиска уязвимостей на сайте, которые вы можете использовать для обеспечения максимальной безопасности своего ресурса или инфраструктуры. Многие из этих инструментов являются промышленным стандартом. Сейчас вы можете продумать стратегию тестирования и попытаться устранить все уязвимости.

SQLMAP: как проверить ваш сайт на наличие уязвимостей SQL

На его месте этический хакерSQLMAP является основным инструментом для поиска уязвимостей на основе SQL-инъекция, Это решение с открытым исходным кодом, написанное на языке Python, которое автоматизирует процесс поиска и использования уязвимостей SQL с конечной целью полного контроля над базой данных и сервер в котором он находится.

Он включает в себя несколько функций, таких как снятие отпечатков базы данных, сбор данных и выполнение командной строки. операционные системы, Инструмент SQLMAP можно использовать для следующих целей:

• Проверка веб-приложения на уязвимость SQL-инъекций
• Использование уязвимости SQL-инъекций
• Извлекать данные из базы данных и ее пользователей
• Обход брандмауэра веб-приложений (WAF)
• Полный контроль над базовой операционной системой

Некоторые из наиболее важных функций SQLMAP показаны ниже:

[канал YouTube-канала = 3]

• Он может поддерживать технологии MySQL, Oracle, PostgreSQL, Microsoft Access, Microsoft SQL Server, IBM DB2, SQLite, Firebird и Sybase.
• Он также поддерживает различные методы внедрения SQL в 6: булевские слепые, основанные на ошибках, UNION-запросы, временные слепые, стековые запросы и внеполосные запросы.
• Поддерживает поиск хэшированных паролей с помощью техники атаки по словарю.
• Позволяет сканировать пользователей, хэшированные пароли, роли, разрешения, базы данных, таблицы и столбцы.

Что такое SQL-инъекция?

SQL-инъекция — это метод взлома, когда злоумышленник изменяет его URL или какое-либо другое поле ввода символов веб-приложения может вставлять команды SQL непосредственно в базу данных. Это приводит к переопределению методов безопасности приложений, и в результате злоумышленник может извлекать данные из всей базы данных, изменять их и даже удалять.

Это одна из самых старых и опасных атак на веб-приложения. OWASP (Open Security Application Project) ранжирует угрозы внедрения на первом месте в списке самых распространенных угроз безопасности веб-приложений 10 (OWASP Top 10).

Как его использовать

SQLMAP доступен для операционных систем Windows, Linux и Mac, Вы найдете его предварительно установленным в дистрибутиве Linux для тестирования на проникновение, Kali Linux.

Windows

Первый шаг, который вы должны выполнить, — это загрузить (если у вас его еще нет) интерпретатор python — помните, что инструмент написан на python. Вы можете скачать последнюю версию с здесь (v 3.8.0).

После того, как вы успешно завершили установку Python, выполните следующие действия:

1. Скачать его почтовый файл по сайт SQLMAP.
2. Разархивируйте папку и ее содержимое в нужное место
3. Откройте консоль cmd и перейдите в папку, в которую вы распаковали папку с предыдущего шага.
4. Запустите команду sqlmap.py…. И увидеть все ваши варианты.
5. Ты готов

Linux

Почти все дистрибутивы Linux Питон устанавливается по умолчанию. Если вы не уверены, откройте терминал и введите python –версия. Если установлен python, приведенная выше команда покажет вам версию.

Затем выполните следующие команды, чтобы завершить установку инструмента:

sudo apt-get install git git clone https://github.com/sqlmapproject/sqlmap.git sqlmap-dev cd sqlmap-devpython sqlmap.py

Последняя команда отобразит на нашем экране что-то вроде следующего:

Как его использовать

Вот несколько основных команд, которые вы можете использовать с SQLMAP, и их описание:

команда	описание
sqlmap -u «http://site.com/login.php»	Простая проверка для определенного URL
sqlmap -u «http://site.com/login.php» –tor –tor-type = SOCKS5	‘Проверьте используя tor
sqlmap -u «http://site.com/login.php» –время-сек 20	Контроль путем установки лимита времени
sqlmap -u «http://site.com/login.php» –dbs	Возможность вернуть все базы данных веб-приложения
sqlmap -u «http://site.com/login.php» -D site_db –tables	Возврат содержимого определенной базы данных
sqlmap -u «http://site.com/login.php» -D site_db -T users –dump	Вернуть содержимое определенной таблицы
sqlmap -u «http://site.com/login.php» -D site_db -T users –columns	Вернуть все столбцы в таблице
sqlmap -u «http://site.com/login.php» -D site_db -T users -C имя пользователя, пароль –dump	Возврат определенного содержимого столбца
sqlmap -u «http://site.com/login.php» –метод «POST» –data «username = admin & password = admin & submit = Submit» -D social_mccodes -T users –dump	Возврат таблицы, когда у нас есть данные для входа администратора
sqlmap –dbms = mysql -u «http://site.com/login.php» –os-shell	Вернуться в OS Shell
sqlmap –dbms = mysql -u «http://site.com/login.php» –sql-shell	SQL Shell Return

Вы можете найти более подробное описание для SQLMAP здесь.

Ждем ваших комментариев…

21 сервис быстрой проверки безопасности сайта – 2021

Сравнительный анализ сервисов оценки безопасности веб-сайтов

Как быстро понять, насколько уязвим ваш веб-сайт? Легко ли его взломать? А может, он уже взломан?

В общем случае, точные и полные ответы на эти вопросы даются непросто. Вам нужен пентест, который займёт не менее 1 недели и 1500 долларов. Либо расследование инцидента, если он уже очевиден. Например, произошёл дефейс или блокирование сайта, утечка информации и т.д.

А что если нужно заранее понять, насколько всё может быть плохо, но при этом не потратить много сил и времени? Например, для того, чтобы просто получить “пёрышко на чаше весов”, которое нарушит равновесие и ликвидирует последние сомнения о необходимости отложить публикацию сайта и поработать ещё пару недель над его безопасностью. Или чтобы попытаться самостоятельно найти крупную дыру, через которую уже произошёл взлом опубликованного сайта.

Самый быстрый и простой способ – просканировать сайт на уязвимости и другие проблемы безопасности. Для этого нужно воспользоваться сервисами, которые мы описали в нашем обзоре онлайн-инструментов анализа безопасности сайтов.

Введение

Целью данного обзора не является определение самых функциональных и точных сканеров, предоставляющих максимум информации, а определение сканеров, оптимальных для быстрых задач оценки безопасности неспециалистами по безопасности.

Поэтому в ходе обзора мы оценивали следующий набор параметров: возможность бесплатного использования, простота использования, отсутствие необходимости регистрации пользователя, скорость обнаружения проблем и количество бесплатного функционала.

Обзор мы разделили на три части (“весовые категории” или “лиги”):

• 16 универсальных сканеров безопасности веб-сайтов.
• 4 узкоспециализированных сканера безопасности веб-сайтов на платформе CMS WordPress. Эта платформа была наиболее популярной платформой построения веб-сайтов на протяжении последних 10 лет, и остаётся наиболее востребованной в 2021 году.
• 1 полезный сервис оценки безопасности, включённый в бонусную категорию.

Сервисы оценки безопасности мы упорядочили по их названиям в алфавитном порядке.

Универсальные сканеры безопасности веб-сайтов

1. Acunetix

Классический коммерческий сканер уязвимостей веб-сайтов. Проверяет сайты на множество уязвимостей. Требует регистрацию на корпоративный почтовый ящик. Процесс получения временной бесплатной версии сложен. Бесплатное использование на протяжении 14 дней. Сервис даёт полезные результаты.

2. Detectify

Коммерческий сканер безопасности сайтов, который позволяет проводить несколько десятков автоматических тестов безопасности, включая тесты OWASP Top 10, наличие вредоносного программного обеспечения и многие другие. Сервис требует регистрацию, и работает бесплатно только 14 дней. Сканер достаточно сложен в использовании, хотя в сегменте коммерческих сканеров встречаются и более сложные продукты. Цены Detectify практически не отстают от уровня мировых лидеров рынка. Сканирование работает медленно, несколько часов, и даёт приличное количество результатов.

3. H-X Scanner

Бесплатный онлайн-сканер уязвимостей. Работает с 2016 года и имеет два режима: быстрый и нормальный. Сервис достаточно прост в использовании и не требует регистрации. Нужно ввести адрес вашего сайта и адрес электронной почты для получения отчёта о безопасности. В быстром режиме первые результаты можно получить в реальном времени в течение нескольких секунд после запуска. Весь процесс сканирования в быстром режиме занимает 5 минут. В нормальном режиме не нужно держать сайт сканера открытым. Отчёты о сканировании приходят на емайл. Процесс нормального сканирования занимает от нескольких минут до нескольких часов, в зависимости от сложности и объёма сайта. В нормальном режиме отчёт весьма удобный. Он содержит резюме и подробности в табличном виде. Предусмотрен функционал ручной верификации уязвимостей. Общий вывод – очень удобный сервис с относительно подробными отчётами, пригодными для глубокого ручного анализа и обработки.

4. ImmuniWeb

Компания ImmuniWeb активно развивается на рынке профессиональных решений по информационной безопасности. Веб-сайт этой компании и её бесплатный сервис оценки безопасности веб-сайтов имеют простой, удобный и весьма продуманный функциональный интерфейс. Сканер проверяет безопасность сервера вашего сайта, его соответствие требованиям стандартов PCI DSS и GDPR, заголовки HTTP, включая CSP, выполняет специфические тесты CMS для сайтов на базе WordPress и Drupal, проверяет уязвимости библиотек интерфейсов и многое другое. Сервис работает не очень быстро, но предоставляет очень удобные и наглядные результаты.

5. Intruder

Современный коммерческий сканер широкого спектра уязвимостей. Сервис имеет расширенные возможности вроде анализа безопасности облачных систем и API. Удобен в использовании. Требует регистрацию. Бесплатен на протяжении 30 дней. Работает довольно медленно и предоставляет не много результатов.

6. Netsparker Cloud

Один из классических коммерческих сканеров. Конкурент Acunetix, что особенно заметно в процессе получения пробной бесплатной версии, которая действует также только 14 дней. Требует непростую корпоративную регистрацию. Сервис предоставляет относительно много результатов, и даёт ложные срабатывания.

7. Norton Safe Web

Сервис от знаменитого антивируса лишний раз доказывает, что антивирусные компании сравнительно плохо справляются с оценкой безопасности веб-сайтов. Несмотря на то, что сканер бесплатный и легко запускается, он не даёт никаких результатов, если только ваш сайт уже не находится в базе данных сервиса. Попадание сайта в эту базу данных – непростая задача.

8. Observatory

Бесплатный сервис от знаменитого проекта Mozilla. Сканер помог владельцам нескольким десяткам миллионов веб-сайтов выяснить состояние их безопасности. Сервис простой в использовании, быстрый и наглядный. Он проверяет безопасность заголовков HTTP, выполняет тесты SSL, TLS, предварительной загрузки HSTS и т. д. Функционал несколько ограничен, но инструмент, несомненно, достойный.

9. Pentest-Tools

Быстрый и простой в использовании сканер, имеющий бесплатную и платную части. Бесплатное сканирование можно запустить только два раза. Оно не требует регистрации, но предоставляет сильно ограниченные результаты. Сайт рекламирует платные проверки с богатым функционалом.

10. Probely

Этот платный сканер уязвимостей имеет качественный пользовательский интерфейс и возможность пробного бесплатного использования 14 дней. Регистрация и использование не сложные. Сервис Probely удобен для разработчиков сайтов и веб-приложений. Он содержит не только функции поиска уязвимостей, но и полного цикла управления ими, включая их устранение. Сервис работает достаточно быстро, но в бесплатном режиме выдаёт весьма ограниченное количество результатов.

11. Quttera

Этот бесплатный инструмент в некоторой мере аналогичен сканеру Sucuri, описанному ниже, и даёт немного больше результатов. Он работает немного дольше, хотя в целом довольно быстро – несколько десятков секунд. Сканер прост в использовании и позволяет проверить сайт на некоторый ограниченный перечень уязвимостей, на наличие вредоносных и подозрительных файлов, а также анализирует присутствие сайта в списках безопасного просмотра и в списках вредоносных программ. Практически все сканеры уязвимостей время от времени дают ложные срабатывания, заявляя о проблемах безопасности там, где их реально нет. Но Quterra делает это весьма безапелляционно и навязчиво, сразу же предлагая купить их услуги по устранению проблем. Например, этот сервис ругается на несуществующую угрозу “Malicious obfuscated JavaScript threat”. Такое поведение подрывает доверие к этому инструменту.

12. Sucuri SiteCheck

Бесплатный сканер Sucuri оставляет неплохое впечатление. SiteCheck прост в использовании. Работает со всеми типами сайтов, а не только WordPress. Сервис имеет довольно ограниченный функционал – проверяет присутствие сайта в списках безопасного просмотра (Google, Yandex и т. д.) и в чёрных списках, проверяет наличие файрвола, мониторинга, некоторого вредоносного ПО, а также некоторых протоколов и заголовков. Сканер ошибается с определением CMS, а также оценивает безопасность таких сайтов как, например, facebook.com или microsoft.com, на уровне medium risk. Это является заведомо недостоверным завышенным значением риска. В целом, сервис работает очень быстро, несколько секунд, но и информации даёт очень мало.

13. SiteGuarding

Сервис сканирует сайты на наличие вредоносных программ, проверяет черные списки, спам и т. д. Сканер декларирует, что распознаёт WordPress, Joomla, Drupal, Magento, osCommerce, Bulletin и другие платформы. Запускается умеренно сложно, регистрации не требует. Работает недолго, но результаты очень ограничены. Сложная навигация, сложный интерфейс, навязчивая реклама.

14. Tinfoil Security

Инструмент платный, с возможностью бесплатного демо. Настройка Tinfoil Security умеренно сложная. Отдельные тесты проводятся, даже если сайт защищен паролем, или для входа требуется регистрация. Есть функционал мониторинга.

15. UpGuard Scan

Этот платный инструмент выполняет оценку рисков. Он использует информацию о различных параметрах сайта. Процесс регистрации сложный. Пробная бесплатная версия действительна 7 дней.

16. VirusTotal

Знаменитый агрегатор антивирусов, который был приобретён компанией Google, имеет также функцию агрегации чёрных списков сайтов. Работает бесплатно, максимально просто и мгновенно выдаёт результаты. Однако, по определению, полнота такой проверки ограничена, поскольку сервис не проверяет уязвимости сайта. Соответственно, сервис не даёт гарантий безопасности сайта.

Сканеры безопасности сайтов на базе WordPress

17. IsItWP Security Scanner

Бесплатный, простой в использовании, не требующий регистрации сканер на базе движка Sucuri, с двумя недостатками: 1) низкая скорость работы, 2) функционал сканера ограничен только некоторыми проверками (в основном, на известное вредоносное ПО). Сайт поставщика рекламирует дополнительные сервисы по защите сайтов WordPress и описывает шаги по реагированию на инциденты безопасности. В целом, сервис оставляет впечатление сырого, и шансов получить от него полезную информацию мало.

18. Web Inspector

Онлайн-сканер для проверки безопасности сайтов на базе WordPress. Сервис сканирует сайт с помощью Google Safe Browsing и движка Comodo. Сканер проверяет, есть ли вредоносный код, бэкдоры, вирусы, подозрительные скрипты и файлы. Регистрация, сравнительно с другими сервисами, не просто сложная, а очень сложная, так как требуется введение данных платёжной карты.

19. Wprecon

Сканер Wprecon для сайтов WordPress бесплатен, прост в использовании и достаточно быстр. Среди систем своего класса имеет наиболее подробные и удобные отчёты, а также ссылки на дополнительный функционал. Инструмент проверяет версию WordPress, плагины, темы, идентификацию пользователей, индексирование каталогов, iframes, ссылки, JavaScripts и так далее. Результаты достаточно полные.

20. WPsec

Сканер сайтов на WordPress с ограниченной бесплатной версией. Он настойчиво рекомендует купить премиальную учётную запись. Сервис требует регистрацию и прост в использовании, но есть неудобства вроде операций с паролем входа в сервис. WPsec использует распространённый бесплатный движок WPscan. Этот движок является сканером уязвимостей, работающим в командной строке. Он предоставляет информацию об устаревших версиях WordPress, его компонентов и других недостатках безопасности. Также этот движок известен тем, что он даёт большое количество ложных срабатываний. Сервис WPsec, несмотря на красивый интерфейс, медленный и в целом разочаровывает.

Бонус

21. Google Safe Browsing

Собственно, данный сервис не является сканером, а просто интерфейсом к “чёрному списку” Google. То есть, к базе данных, содержащей списки вредоносных сайтов. Многие сканеры, упомянутые в этом обзоре, используют Google Safe Browsing для своих результатов. По какой-либо причине вам может оказаться нужно обратиться к оригинальному сервису и не использовать сервисы посредников. Сервис интегрирован с Google Search Console, что достаточно удобно. Если вдруг ваш сайт окажется в чёрном списке, вы получите подробные инструкции о том, как удалить сайт оттуда. Сервис бесплатен, не требует регистрации, прост в использовании и быстр. Однако, поскольку не проверяет сайты на уязвимости, то малофункционален по сравнению с другими сервисами в нашем обзоре.

Сравнительный анализ

Напомним, что нашей целью было выявление быстрых, удобных, бесплатных онлайн-инструментов для анализа безопасности веб-сайтов. Сервисы со сложной регистрацией, сложным интерфейсом, медленные, дающие ограниченные результаты и тому подобные сканеры теряли очки при подсчёте.

В таблице результатов 0 баллов означает “нет или почти нет”, 1 – “частично”, 2 – “да, полностью или почти полностью”. Чтобы получить итоговую оценку, мы просуммировали первые 4 параметра оценки, затем результат умножили на оценку количества бесплатного функционала.

В лиге универсальных сканеров наш рейтинг выглядит следующим образом:

Сканер	воз­мож­ность бес­плат­но­го ис­поль­зо­ва­ния	прос­то­та ис­поль­зо­ва­ния	от­сут­ствие ре­гис­тра­ции	ско­рость на­хож­де­ния проб­лем	ко­ли­чес­тво бес­плат­но­го фун­кци­о­на­ла	Ито­го­вая оцен­ка
H-X Scanner	2	2	2	1	2	14
ImmuniWeb	2	2	2	1	2	14
Norton Safe Web	2	2	2	2	1	8
Observatory	2	2	2	2	1	8
Sucuri SiteCheck	2	2	2	2	1	8
VirusTotal	2	2	2	2	1	8
Quttera	1	2	2	2	1	7
Acunetix	1	0	0	2	2	6
SiteGuarding	1	1	2	2	1	6
Pentest-Tools	1	1	1	2	1	5
Probely	1	2	0	2	1	5
Netsparker Cloud	1	1	0	2	1	4
Tinfoil Seurity	1	1	0	1	1	3
Detectify	1	0	0	0	2	2
Intruder	1	0	0	1	1	2
UpGuard Scan	1	0	0	1	1	2

Таким образом, для быстрых задач оценки безопасности веб-сайтов мы рекомендуем пользоваться инструментами H-X Scanner и ImmuniWeb, которые обогнали конкурентов по рассматриваемому набору параметров.

В лиге сканеров безопасности WordPress рейтинг получился такой:

Сканер	воз­мож­ность бес­плат­но­го ис­поль­зо­ва­ния	прос­то­та ис­поль­зо­ва­ния	от­сут­ствие ре­гис­тра­ции	ско­рость на­хож­де­ния проб­лем	ко­ли­чес­тво бес­плат­но­го фун­кци­о­на­ла	Ито­го­вая оцен­ка
Wprecon	2	2	2	2	1	8
IsItWP Security Scanner	2	2	2	0	1	6
WPsec	1	2	0	0	1	3
Web Inspector	1	0	0	1	1	2

Получается, что сервис Wprecon выглядит наиболее полезным и удобным для проверки безопасности сайта на основе Вордпресс.

Заключение

Мы провели обзор 21 современного инструмента для бесплатной, быстрой, удобной оценки безопасности веб-сайтов в интерактивном режиме, а также сравнительный анализ 20 инструментов.

Таким образом, вне зависимости от того, какой у вас веб-сайт, если вы не хотите тратить много времени на анализ его безопасности, мы рекомендуем использование сервисов H-X Scanner и ImmuniWeb.

Если ваш сайт построен на платформе системы управления содержимым WordPress, дополнительно рекомендуем проверить сайт с помощью сервиса Wprecon.

Как проверить сайт на sql уязвимость

Еще один вариант проверки онлайн — XSS и SQL Injection Сканер, в который требуется загрузить php-файл.

Для этого скачайте php-файл из корневой папки сайта к себе на компьютер. Потом перейдите по ссылке и загрузите его для проверки. Бесплатная проверка подойдет для небольших проектов (максимальный вес файла — 5 мегабайт).

Чтобы загрузить файл с компьютера, нажмите «Другие файлы» и выберите нужный. После жмите кнопку «Сканировать». Отчет получаем на этой же странице, чуть ниже сканера.

Плагины для поиска уязвимостей

Для разных CMS существует ряд готовых решений в виде плагинов. Их количество зависит только от популярности платформы. Рассмотрим несколько вариантов на примере WordPress.

Задачей каждого из плагинов является поиск лазеек в коде сайта.
Причиной их возникновения становятся как уязвимые темы, так и отсутствие своевременного обновления шаблонов и плагинов. Также потенциально уязвимы открытые директории для разных IP — например, wp-admin. Все это можно отслеживать при помощи некоторых плагинов.

К примеру, BulletProof Security обеспечивает безопасность сайтов на WordPress, предоставляя защиту не только от XSS-атак, но и других способов внедрения вредоносного кода, кражи базы данных и т.д.

Целенаправленную проверку URL с XSS-значениями выполняет плагин Prevent XSS Vulnerability.

Целесообразнее выбрать один плагин, который будет полностью отвечать за безопасность сайта, и не нагружать систему разными дополнениями, которые могут конфликтовать между собой и потерять эффективность.

Заключение

XSS-уязвимость означает, что в коде сайта существуют «дыры», которые могут позволить злоумышленникам внедрить вредоносный код в ваш сайт. В результате они смогут устанавливать на сайте свою рекламу, скрытые ссылки и многое другое.

Защита от XSS-атак — обязательное условие успешного проекта. Недооценив его, вы рискуете потерять клиентов, сайт и репутацию в интернете.

Для проверки на наличие уязвимостей эффективнее всего обратиться к разработчику, который осуществит проверку самостоятельно и сможет выявить не только шаблонные ошибки.

Если же ваш бюджет этого не позволяет, можно просканировать сайт с помощью онлайн-сервисов. Они предоставят данные об уязвимых местах шаблонного характера. В этих целях можно использовать Acunetix Web Security Scanner, XSS Injection Сканер или аналоги.

Кроме того, для большинства CMS существуют готовые решения безопасности в виде плагинов. На WordPress есть расширения и для проверки, и для усиления защиты от XSS.

Эта статья — часть модуля «Список задач» в Serpstat

«Список задач» — готовый to-do лист, который поможет вести учет
о выполнении работ по конкретному проекту. Инструмент содержит готовые шаблоны с обширным списком параметров по развитию проекта, к которым также можно добавлять собственные пункты.