Google、Webアプリセキュリティツールをオープンソース化

Googleからセキュリティ問題調査ツール「Skipfish」が公開された。

ApacheライセンスのもとOSSとして公開されている。サポートするOSはLinux、FreeBSD 7.0+、Mac OS X、Windows+Cygwinなど。コマンドラインで実行するツールで、同様のセキュリティ問題調査ツールと比較して次のような特徴があると説明されている。

• C言語で開発されており高速。メモリ使用量もすくなく、短時間の間に大量のHTTPリクエストを処理できる。
• さまざまなフレームワークや技術、またはそれらの組み合わせに対応。オンザフライでワードリストを作成しフォームで利用する。
• 幅広くセキュリティに関連した問題を発見可能

検出できるとされているセキュリティホールは多岐に渡る。配布物に含まれているREADMEファイルに簡単な一覧がある。たとえばリスクの高いとされる検出対象を抜粋すると次のとおり。

ハイリスクなセキュリティ上の問題
サーバサイドSQLインジェクション
GETおよびPOSTパラメータにおけるSQL操作に直結していそうなキーワードの使用
サーバサイドシェルコマンドインジェクション
サーバサイドXML/XPathインジェクション
フォーマット文字列脆弱性
整数オーバーフロー脆弱性
HTTP PUTによる場所変更問題

Skipfish単体ですべてのセキュリティチェックが実施されるわけではないため、RatproxyやNessusなどほかのツールと併用した方が効果的とみられる。