fimap é uma ferramenta programada em python que pesquisa, prepara, analisa, testa por falhas de inclusão de ficheiros remotamente e localmente em aplicações web. Segundo o autor, fimap pode ser comparado com o sqlmap mas para LFI/RFI (Local File Inclusion/Remote File Inclusion) em vez de SQL Injection. Está ainda em versão de testes mas já pode ser usado.

(Fonte: fimap)

O objectivo desta ferramenta é melhorar a qualidade e segurança de um website.

Projecto – Download [.gz]

GZ

Após dois anos desde o lançamento da última versão, Nikto aparece renovado e mais forte que nunca na sua versão 2.1.0.

Para quem não conhece esta ferramenta, Nikto é um web server scanner open source (GPL) que realiza testes de segurança detalhados a servidores web. Na sua base de dados contém cerca de 3500 ficheiros potencialmente perigosos, versões de mais de 900 servidores, etc. Estas informações são actualizadas frequentemente e podem ser feitas automaticamente (se pretendido).

Para muitos pen testers é uma ferramenta essencial e acima de tudo livre.

Mais informações na página oficial do projecto.

Download [.gz]

GZ

FRHACK OS é uma versão actualizada e modificada do famoso Backtrack 4 (em pt-br) com aplicações mais actualizadas e com bastantes correcções.

É um LiveCD ideal para pen-testers e entusiastas da área.
Entre as principais ferramentas e actualizações tem:

• gcc-4.2
• sun-java6-jre sun-java6-plugin
• spoonwep-wpa-rc3.deb
• airsnort-0.2.7e.tar.gz
• wepbuster-1.0_beta_0.6
• jbrofuzz-jar-15
• wfuzz-1.4
• tor-0.2.1.19
• privoxy-3.0.8-stable-src
• ophcrack-3.3.1
• vncrack_src-1.21
• fuzzgrind_090622

A próxima versão, que vai sair na altura da conferência FRHACK 01, vai ter mais aplicações, correcções, listas rainbow, etc.

Download [.iso] (1.4GB)

DS

O Websecurify é uma framework de testes de segurança que permite identificar vulnerabilidades usando automatização de um browser avançado e técnicas de fuzzing. Esta framework foi programada em Javascript e é executada com sucesso em diversas plataformas que incluem os browsers mais recentes com suporte HTML5, xulrunner, xpcshell, JAVA, V8 e outros.

Já testei em Linux e em Mac, onde reparei grandes diferenças de velocidade, com o Linux (distro Ubuntu) a ser bem mais rápido em termos de análise de cada teste. Interessante o funcionamento e sempre é mais uma ferramenta open-source que podemos usar em pen-testing.

Projecto – Download [Windows - Mac - Linux]

DS

MiniFuzz é uma nova, lançada ao público ontem, ferramenta disponibilizada pela Microsoft para ajudar a detectar falhas de segurança em código que podem expor vulnerabilidades na manipulação de ficheiros. Esta ferramenta cria variações aleatórias múltiplas do índice do ficheiro e passa para a aplicação para testar o código na tentativa de expor comportamentos inesperados ou com funcionalidades inseguras.

Esta ferramenta de cerca de 2Mb (instalação) é suportada no novo Windows 7, Vista e XP.

Pode ver mais informação/instruções na página de download.