Flexアプリケーションで侵入テストを実行するにはどうすればよいですか？
可能性のある複製：
Flash SWFファイルを検査するためのツールはありますか？
私はそれを逆コンパイルし、ソースを検証しました。すべて問題ないようです。この場合、Appscanも何も検出できません。しかし、私は何も欠落していないことを確認したいだけです。誰かがいくつかの考えを提供できれば、FLEXアプリケーションがアクションスクリプトも使用するため、基本的にクロスサイトスクリプティングを貫通するためのヒントが役立つでしょう。どんなポインタでもいただければ幸いです。
リンクされた質問はSWFScanツールについて話しますが、それは基本的に静的フラッシュファイルを逆コンパイルし、私の知識に従って静的コードレビューを実行します。
明らかなリソースに加えて：
テスト中に覚えておくべき重要な概念もたくさんあります。
- AMFを処理する必要があります
- Flashファイルが関係している可能性があるため、依存関係と抽出されたリンクまたは参照を含め、逆コンパイル、静的分析、およびコードのレビューが最も重要です。
- AMFパラメータは、Javascript/Actionscript動作を使用して、中間層（またはバックエンド）のXMLまたはJSON形式のコードにマップされる場合があります。インタラクションの詳細を提供するための仕様またはソースコード、または複雑なファジングプロキシが必要になる場合があります。 Quotium Seeker、Fortify SecurityScope（特に自動生成されたREST WADLテクノロジー）、またはコントラストセキュリティを使用したIAST主導の侵入テストを検討してください
CharlesProxyに似た Burpsuite のようなツールを使用することもできますが、プラグインをサポートしています。 Blazer と呼ばれるAMFテスト用のきちんとしたプラグインがあり、カスタマイズ可能な攻撃ベクトルでファジング機能を提供します。
BlazerのコードはGitHub- Code for Blazer にあります。
通常のWebアプリケーションのテスト中に行うように、httpトラフィックをインターセプトします。 Charlesプロキシ http://www.charlesproxy.com/ は、amfトラフィックのデコードに最適です。