QQ登录

只需一步,快速开始

小U分享论坛

快捷导航
查看: 105|回复: 0

[话题] WAP:一款WEB安全检测工具

[复制链接]

该用户从未签到

发表于 2019-5-1 21:18:51 | 显示全部楼层 |阅读模式
DnC5XXCQNNMHm8m5.jpg
  Web Application Protection(WAP)是用于源代码静态分析和数据挖掘的一个工具,WAP主要检测使用PHP(4.0版本及以上)编写的web应用程序,并且因为它的误报率很低而受到广泛好评。
  WAP可被用来检测并纠正以下漏洞:
SQL注入漏洞
跨站脚本攻击漏洞
远程文件包含漏洞
本地文件包含漏洞
目录及路径遍历漏洞
源代码泄露漏洞
操作系统注入漏洞
PHP代码注入漏洞
  该工具可在语义上分析源代码,更确切地说,它利用数据流分析来检测漏洞是否存在,感染分析的目的是监视数据流入口防止恶意代码输入($_GET, $_POST数列等),并且确认它们是否接触到一些敏感接收器——一些PHP函数可被恶意输入所利用。检测之后,WAP工具使用数据挖掘技术来确认检测到的漏洞是真实存在的还是误报,最后,被确认的漏洞将会被补丁修补。
  WAP是用java语言编写的,它有三个模块组成:
  代码分析仪
  该代码分析仪由树建模和感染分析仪组成,这个工具整合了ANTLR提供的开源词法分析器以及语法解析器,它主要利用的是PHP的语法以及PHP的树建模语法。这个树建模发生器使用词法分析器和语法解析仪在每个PHP文件中中构建AST(抽象语法树),这个感染分析仪通过构建的AST来检测可能存在的漏洞。
  误报预测仪
  误报预测仪是由集中归类的一直处于监督状态的漏洞数据以及误报信息和逻辑回归分类机器(Logistic Regression machine)算法组成,对于检测到的每个有可能的漏洞,此模块负责收集假阳性漏洞的存在数据,之后逻辑回归分类机器(Logistic Regression machine)将接收这些数据并就有无存在误报给它们分类。
  代码校正仪
  代码校正仪的作用是选择确认的漏洞类型并且修补漏洞。在代码校正仪确认了漏洞类型之后,被确认的漏洞将会在源代码中被删除或者插入补丁文件修复。
  随手附上下载地址—>点我!
  *参考: kitploit,编译/FB小编banish,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)
收藏该文
banish28篇文章等级:6级  
  天地不仁 万物刍狗
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

站长QQ
35656948 周六至周日:09:00 - 21:00
电子邮箱:35656948@qq.com

小U分享论坛是一个致力于学习与分享IT技术(QQ排名、QQ群排名技术、渗透测试、渗透测试技术、渗透技术…)的论坛。由众多的IT技术爱好者共同维护,尽力为IT技术初学者打造一个良好的学习环境。

Powered by Discuz! X3.4

QQ|申请友链|小黑屋|手机版|小U分享论坛 ( 粤ICP备18051481号 )|网站地图

GMT+8, 2019-6-27 18:31 , Processed in 0.245451 second(s), 47 queries , Gzip On.

快速回复 返回顶部 返回列表