Skipfish: Security-Scanner für Webapplikationen

Google verspricht automatisierte Prüfung mit hoher Geschwindigkeit

Mit Skipfish hat Google einen Sicherheitsscanner für Webapplikationen als Open Source freigegeben. Skipfish überprüft Webapplikationen weitgehend automatisiert auf diverse Sicherheitslücken und soll dabei besonders schnell sein.

Skipfish erstellt durch rekursives Crawlen eine interaktive Sitemap einer Website. Anschließend wird die Sitemap mit den Ergebnissen diverser Sicherheitsprüfungen ergänzt. Skipfish-Entwickler Michal Zalewski verspricht dabei vor allem eine hohe Geschwindigkeit: Die in C geschriebene Software soll bei geringer CPU-Belastung rund 2.000 Anfragen pro Sekunde im lokalen Netzwerk absetzen können. Läuft Skipfish auf dem gleichen Rechner wie die Applikation, hat Zalewski bei normaler Hardware mehr als 7.000 Anfragen pro Sekunde erreicht. Bei Zielen im Internet waren es gut 500 Anfragen pro Sekunde.

Dank der heuristischen Herangehensweise von Skipfish gekoppelt mit einem selbstlernenden Algorithmus soll dessen Benutzung besonders einfach sein. Wortlisten werden dabei on-the-fly erstellt und Formulare automatisch ausgefüllt.

Die Sicherheitsprüfungen wurden daraufhin optimiert, möglichst wenig falsche Alarme zu produzieren. Den "WASC Web Application Security Scanner Evaluation Criteria" folgt die Software laut Zalewski nur zu einem kleinen Teil. Geprüft werden unter anderem serverseitige SQL-Injections, SQL-Syntax in GET- und POST-Parametern, das Einschleusen von Shell-Befehlen und das Produzieren von Integer-Überläufen. Auch Cross-Site-Scripting wird in diversen Varianten getestet. Eine Übersicht der Tests gibt es im Skipfish-Wiki. Unter code.google.com/p/skipfish kann die Software heruntergeladen werden. Sie steht unter der Apache License 2.0.