Skipfish : contre les failles des services web

Google a récemment levé le voile sur SkipFish, un outil publié sous licence Apache 2.0 permettant de détecter les failles au sein des applications web. L'outil procède à certaines actions basiques qu'une personne malintentionnée pourrait mettre en oeuvre afin de hacker un site Internet.

Son créateur, Michal Zalewski, explique que Skipfish peut par exemple tenter de simuler une attaque par injection que code SQL ou XML ou encore en essayer de s'authentifier via une connexion SSL. En tout cet outil serait capable d'opérer 500 requêtes par seconde et plus de 7000 sur un réseau local.

Skipfish se révèlerait moins gourmand en mémoire que les solutions existantes telles que Niktot ou Nessus mais également plus facile d'utilisation et présentant des résultats de meilleure qualité. Son créateur ajoute tout de même : « Skipfish n'est pas pour autant le remède miracle et peut ne pas être adapté à certains cas de figure. ». Par exemple, l'outil ne prend pas en compte tous les criotères énumérés par l'organisme de sécurité WASC (Web Application Security Consortium).

Les développeurs web souhaitant en savoir davantage peuvent se rendre sur cette page.