Web脆弱性診断ツール「VAddy」TOP　＞ 株式会社ビットフォレスト（東京都千代田区　代表取締役 高尾都季一　以下、ビットフォレスト）が提供するクラウド型Webアプリケーション脆弱性検査サービス「VAddy」は、同社の基準を満たすオープンソースソフトウェア開発者向けにVAddy Professionalプランの無償提供を開始いたしました。 本取組の第一弾として、NPO法人ベーサー・ファウンデーションが支援している国産オープンソースCMS「baserCMS」に対して、VAddy Professionalプランの無償提供を行いました。すでにいくつかの脆弱性をVAddyが発見し、baserCMSのセキュリティ修正版リリースに貢献しています。 Webサイト構築の期間と予算を大幅に圧縮することができるオープンソースソフトウェア（以下、OSS）は、商用・非商用問わず現在のWebサイト構築には欠かせ

VAddyは、継続的なWeb脆弱性診断が簡単に実現できるSaaSです。 昨日はVAddyの基本的な使い方を説明しました。 10分でWebアプリの脆弱性検査ができた！VAddyでWordPressをスキャンしてみる たった3ステップで脆弱性診断が手軽にでき、特別な知識が不要だと感じてもらえたら嬉しいです。 VAddyではWebAPIの提供やJenkinsプラグイン、 CLIツールなどCI連携ツールの提供もしていますので、簡単に継続的なセキュリティのチェックが行えます。 今日は昨日の記事でスキャンしたWordPressにクロスサイトスクリプティング（XSS）の脆弱性を入れて、同じようにVAddyで検査してみたいと思います。 WordPressにXSSの脆弱性をあえて入れる VAddyに登録した検査対象のページは、WordPressの検索フォーム画面でした。この画面にXSSが発生するようにしたい

Jenkinsユーザカンファレンス2015に参加・発表してきました。 参加者も700人ぐらいいたようで非常に活気があり、各セッションもJenkinsを中心としたシステムの話から、何故CIなのかなど、多岐に渡る発表があり刺激的でした。 我々は5分のLTで発表させて頂きました。短い時間なので色々と説明を省略した箇所がありましたが、アップロードしたスライドではある程度補足しています。 継続的セキュリティテストのコンセプトでVAddyを開発・運用していますが、世界でも同じコンセプトでGoogleが社内ツールとして開発していたり、カーネギーメロン大のブログで提唱されていたりと、あと数年もすると大きなトレンドになるのは確実です。 継続的セキュリティテストが普及するためには、専門知識不要で簡単に使えて、検査精度が高く、CIのフローに乗るように短時間で終わる必要があります。これらのハードルを乗り越えるため

Penetration testing web applications is not an easy task, no matter if you are a Java, PHP, Ruby or C# developer. Often development teams use web frameworks to develop their application and rely on build-in security features without understanding possible attack scenarios. Other times developers rely on the operation team when it comes to securing the web application. Recently I came across a tool

Webアプリケーション脆弱性スキャンツール サイト https://code.google.com/p/zaproxy/ https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project インストールと下準備 今回はOS X 10.9.1にインストールしました 必要なもの JREが必要なので、必要な場合は予め入れておく http://java.com/ja/download/ Mervericksには最初から入っていたので、何もしていない Firefox 標準ブラウザとしてFirefoxを期待しているようなので入れておく http://www.mozilla.jp/firefox/ アドオン追加時に標準である必要があるだけで、追加してしまえば、標準ブラウザとしていなくても動く様子 DLして展開して実行する http://sourc

sqlmapはオープンソースのSQLインジェクションの脆弱性をテストするツールです。 以前テストに使用したので、インストール方法などのメモを残しておきます。 公式サイト 公式のリポジトリ wiki インストール on CentOS sqlmapはPythonによる実装なのでまずPythonを入れます。 $ sudo yum install python $ python -V あとはGithubからsqlmapを取得するだけ $ git clone https://github.com/sqlmapproject/sqlmap.git $ cd sqlmap 使い方 以下のように調査したいURLを指定してsqlmap.pyを実行するだけです。 $ python sqlmap.py -u "http://localhost/post?id=a" -a クエリストリングの値の部分(上の例だとi

Home Hybrid cloud software for a smarter business Hybrid cloud software for a smarter business Speed your Digital Reinvention® by infusing the intelligence of AI and the agility of hybrid cloud to modernize, predict, automate and add security to your business

This document discusses automated security testing using the Zed Attack Proxy (ZAP) tool. It describes how ZAP can be used to passively and actively scan web applications for security vulnerabilities by intercepting HTTP traffic. It also provides examples of integrating ZAP into continuous integration builds using its REST API and tasks for Ant and Maven. While automated testing finds many issues,