网站排名易下拉效率,深圳网络营销|深圳网站建设公司|专业网络营销运营推广策划公司,优质网站建设公司哪家好,怎么样推广一个网站关于route-detect
route-detect是一款功能强大的Web应用程序路由安全扫描工具#xff0c;该工具可以帮助广大研究人员在Web应用程序路由中轻松识别和检测身份认证漏洞和授权漏洞。 Web应用程序HTTP路由中的身份认证#xff08;authn#xff09;和授权#xff08;authz该工具可以帮助广大研究人员在Web应用程序路由中轻松识别和检测身份认证漏洞和授权漏洞。 Web应用程序HTTP路由中的身份认证authn和授权authz漏洞是目前最常见的Web安全问题下列行业标准也足以突出证明了此类安全问题的严重性 2021 OWASP Top 10 #1 - 访问控制中断 2021 OWASP Top 10 #7 - 身份验证失效 2023 OWASP API Top 10 #1 - 对象级别授权中断 2023 OWASP API Top 10 #2 - 身份验证失效 2023 OWASP API Top 10 #5 - 功能级别授权中断 2023 CWE Top 25 #11 - CWE-862: 缺少授权 2023 CWE Top 25 #13 - CWE-287: 不正确的身份验证 2023 CWE Top 25 #20 - CWE-306: 关键功能缺少身份验证 2023 CWE Top 25 #24 - CWE-863: 不正确的授权 支持的Web框架
当前版本的route-detect支持下列Web框架 Python: Django (django, django-rest-framework), Flask (flask), Sanic (sanic) PHP: Laravel (laravel), Symfony (symfony), CakePHP (cakephp) Ruby: Rails* (rails), Grape (grape) Java: JAX-RS (jax-rs), Spring (spring) Go: Gorilla (gorilla), Gin (gin), Chi (chi) JavaScript/TypeScript: Express (express), React (react), Angular (angular) 工具安装
由于该工具使用Python开发因此我们首先需要在本地设备上安装并配置好Python环境。
接下来广大研究人员可以直接使用下列命令将该项目源码克隆至本地
git clone https://github.com/mschwager/route-detect.git
或者直接使用pip工具安装最新版本的route-detect
$ python -m pip install --upgrade route-detect
安装完成后我们可以使用下列命令检测route-detect是否安装成功
$ echo print(1 1) | semgrep --config $(routes which test-route-detect) -Scanning 1 file.Findings:/tmp/stdinroutes.rules.test-route-detectFound 1 1, your route-detect installation is working correctly1┆ print(1 1)Ran 1 rule on 1 file: 1 finding.
工具使用
route-detect提供了routes命令并使用semgrep来搜索路由信息。
使用which子命令可以将semgrep指向正确的Web应用程序规则
$ semgrep --config $(routes which django) path/to/django/code
使用viz子命令可以在浏览器中可视化查看路由信息
$ semgrep --json --config $(routes which django) --output routes.json path/to/django/code$ routes viz --browser routes.json
如果你不确定目标Web应用程序所使用的框架可以使用all ID检索和查看
$ semgrep --json --config $(routes which all) --output routes.json path/to/code
如果你有自己自定义的authn或authz逻辑可以拷贝route-detect的规则
$ cp $(routes which django) my-django.yml
我们还可以根据需求修改并运行规则
$ semgrep --json --config my-django.yml --output routes.json path/to/django/code$ routes viz --browser routes.json
工具运行截图 许可证协议
本项目的开发与发布遵循BSD-3-Clause开源许可证协议。
项目地址
route-detect【GitHub传送门】
参考资料 A01 Broken Access Control - OWASP Top 10:2021 A07 Identification and Authentication Failures - OWASP Top 10:2021 API1:2023 Broken Object Level Authorization - OWASP API Security Top 10 API2:2023 Broken Authentication - OWASP API Security Top 10 API5:2023 Broken Function Level Authorization - OWASP API Security Top 10 CWE - 2023 CWE Top 25 Most Dangerous Software Weaknesses GitHub - semgrep/semgrep: Lightweight static analysis for many languages. Find bug variants with patterns that look like source code.
