Mancomún

Comprobando a seguridade das aplicacións web con ratproxy de Google

Mércores, 30 Xullo 2008

http://www.mancomun.org/images/stories/ratproxy.png Para axudar aos desenvolvedores a auditar a seguridade das súas aplicacións web, Google liberou unha ferramenta chamada ratproxy.

ratproxy está deseñada para funcionar entre o teu navegador web e a aplicación que queiras testear e enfocado principalmente á Web 2.0 e aplicacións AJAX. Incluso ten un compoñente opcional para comprobar contido de Adobe Flash. Unha vez que acabamos de probar a nosa aplicación usando ratproxy podemos indicarlle tamén que nos faga un informe en HTML.

A continuación indicaremos como instalar ratproxy e configuralo para testar a web que desexemos…

Para compilar ratproxy, desde a liña de comandos e cun simple, xa temos compilado ratproxy:

fjrial@pcfjrial:~/Desktop/ratproxy-1.51/ratproxy$ make
cc ratproxy.c -o ratproxy  -Wall -O3 -Wno-pointer-sign -D_GNU_SOURCE http.c mime.c ssl.c -lcrypto -lssl

A maneira máis sinxela de executar ratproxy é facéndoo cos parámetros por defecto recomendados. O parámetro “-d” indícalle a ratproxy que só execute os test nas URL do dominio especificado (no noso caso mancomun.org), de maneira que evitará testar accidentalmente webs enlazadas a través de imaxes ou publicidade na nosa web.

fjrial@pcfjrial:~/Desktop/ratproxy-1.51/ratproxy$ ./ratproxy -v /tmp/ -w ratlog.txt -d mancomun.org -lfscm
ratproxy version 1.51-beta by
[*] Proxy configured successfully. Have fun, and please do not be evil.
[+] Accepting connections on port 8080/tcp (local only)…

Se ves a mensaxe “Accepting connections”, isto indica que ratproxy está funcionando no teu computador e no porto 8080. Polo tanto deberás configurar o teu navegador para que use o proxy en localhost e no porto 8080.

O seguinte paso será conectarse á aplicación web que queiras testar e interactuar con ela de xeito habitual. Proba todas as características e visita todas as túas páxinas mentras ratproxy observa e executa tests. Cando remates, pecha o navegador e despois ratproxy con Ctrl-C.

Para obter o informe en formato HTML, so terás que executar:

fjrial@pcfjrial:~/Desktop/ratproxy-1.51/ratproxy$ ./ratproxy-report.sh ratlog.txt > informe_mancomun.html

 

Máis información:
http://code.google.com/p/ratproxy/

Fonte orixinal do artigo:
http://www.linux.com/feature/142675

Xunta

Xunta de Galicia, Información mantida e publicada na internet pola Xunta de Galicia

Atención á cidadanía - Accesibilidade - Aviso legal - Mapa do portal