¿Por qué tengo que hacer pruebas XSS manuales además de usar herramientas como Burp Suite / XXSer / Xenotix?

Question

¿Por qué tengo que hacer pruebas XSS manuales además de usar herramientas como Burp Suite / XXSer / Xenotix?

#1 de yzT (4 votos)
#2 de Little Code (3 votos)

1

¿En qué momento se prefieren las pruebas manuales para XSS a un ataque automatizado como uno a través de Burp Suite?

Mirando a través de las recompensas de errores y varias vulnerabilidades, no está claro dónde hay una línea divisoria entre el descubrimiento manual y automático de XSS, en todo caso.

¿Se reduce a preferencias o hay cargas útiles que una u otra no puede manejar?

Entiendo que la necesidad de comprender los ataques XSS es necesaria, pero ¿por qué las herramientas automatizadas no pueden hacer el trabajo por nosotros?

enlace : ¿parece razonable?

xss

pregunta pee2pee 20.05.2016 - 12:18

fuente

2 respuestas

Lea otras preguntas en las etiquetas xss

¿Puedo confiar en que los navegadores no se adentren en mis actividades? ¿Qué beneficio tiene el enmascaramiento del número de teléfono de Craigslist?

score 4 · Answer 1

Ese enlace es razonable.

¿Por qué necesitas probar manualmente las vulnerabilidades? Debido a que una herramienta es solo una herramienta que alguien más creó y podría haberse olvidado de agregar una posible carga útil. Sin embargo, no conozco ningún caso específico, aunque actualmente no estoy del lado "ofensivo".

Entonces, si usted es el desarrollador, un buen enfoque es:

Sepa dónde acepta los datos de entrada.
Integre pruebas automáticas de filtrado de entrada.
Ejecute cualquier herramienta confiable para verificar posibles XSS.

Por otro lado, si solo estás haciendo pruebas de caja negra:

Identifique los posibles puntos de entrada.
Ejecuta la herramienta que quieras.
Si considera que la herramienta podría haber omitido algo, verifíquelo manualmente.

score 3 · Answer 2

Las herramientas automatizadas son tan buenas como las personas que las crearon (es decir, la lógica de prueba que contienen y las reglas / firmas que utilizan). ¡"Basura en basura fuera" como dice el viejo dicho!

En casi todas las herramientas de pruebas de seguridad automatizadas que he usado, siempre ha habido falsos positivos y falsos negativos.

Por lo tanto, para garantizar que los resultados de sus pruebas sean veraces, cualquier probador de penetración serio (u otro profesional de seguridad) siempre realizará una prueba manual para validar lo que sus herramientas automatizadas les están diciendo y para complementar lo que están automatizando. Las herramientas pueden hacer.