Bugün webappsec@securityfocus.com'da Michal Zalewski Ratproxy'yi duyurdu. Ratproxy, temelinde bir http proxy uygulaması olmasına karşın genel itibariyle üzerinden geçen trafiği inceleyip farkettiği web uygulaması güvenliği zafiyetlerini raporluyor.

Yazılımın en güzel özelliklerinden biri, command line'dan çalıştırdıktan sonra tamamen hand-free biçimde analiz yapması. Yani siz uygulama üzerinde kafanıza göre geziyor, linklere tıklıyorsunuz, o arka planda rastladığı problemleri log dosyasına yazıyor

Yazılımın hand-free olmayan tek yanı, test edilecek uygulamayi elle crawl etmeniz durumu. wget ya da başka bir crawler'a proxy olarak ratproxy'i gosterip çalıştırmak muhakkak bu süreci otomatize etmek adına akıllara gelecektir, ama manuel'deki nota göre bu aksiyonun pek bir faydası yok. Eminim faydası olsa bu yazılımın üzerine bir crawler eklenir ve web application security scanner olarak önümüze gelirdi.

Yaptığı test ve incelemeleri manuel'denn copy paste yapmak istemiyorum ama XSS, XSRF, javascript problemleri, mime-type, redirection ve daha çok client tabanlı ataklar. Testler itibariyle piyasadaki tool'lardan biraz daha yeni.
Yani uygulamanın tutup da tüm zafiyetleri ortaya çıkarmaktan çok, web 2.0 tehditleri üzerinde durmuşlar. Bundan dolayı deli gibi trafiğe ve dolayısıyla crawler'a, fuzzer'a ya da başka bir kaba kuvvet aracına ihtiyacınız yok.

Haricinde mükemmel bir rapor tasarımı yapmışlar. Netekim /tools dizinimin favorilerinden biri olacağı kesin.

Tüm dökümantasyona ve koda bu adresten ulaşılabilir.