Web应用的零配置、自动化、随机测试工具？

Question

16

简而言之，我正在寻找一种工具，可以对Web应用程序进行自动化、零配置、全面的攻击。

我认为这个工具逻辑上应该是一个浏览器扩展程序，既可以爬取给定域/路径上的链接，又可以随机输入数据到表单中并提交。具体来说，表单输入会随机包括各种数据类型、特殊字符、过多的数据、各种字符编码和空值。多线程是必要的（也许一个插件可以使用多个Firefox选项卡）。

该工具不需要（也不应该）对结果做出任何断言或验证任何应用程序行为。相反，持久层（DB记录等）和应用程序日志将用于评估此“测试努力”的结果。

这将是一种补充现有测试工具（Selenium、QuickTestPro）和方法的工具，这些工具和方法可能没有100%的覆盖率。

有没有现有或正在开发的工具建议？如果没有，我很愿意开始一个开源项目。

澄清：我特别不想找渗透测试工具。

更新：我已经创建了一个开源项目来满足这个问题。请查看下面的评论。

- Dolph

由于此前没有令人满意的建议，我创建了FuzzyFox项目，为Firefox提供支持：http://code.google.com/p/fuzzyfox/。 - Dolph

5个回答

2

听起来你需要一个模糊测试工具；像Wapiti这样的工具将扫描您的应用程序，查找参数化的URL和表单以填充，并使用随机生成的数据来执行它们。

以下是一个好的列表，列出了一些网络应用模糊测试工具。

- gareth_bowles

模糊测试绝对是我正在寻找的术语，但我能找到的所有工具（自称为此类工具）都没有提供我所需的基本功能。它们过于专注于安全性，生成严格定义的输入并分析应用程序的响应。我更感兴趣的是模拟一个疯狂的用户，而不是恶意的用户。 - Dolph

1

我不确定是否曾经遇到完全符合要求的任何东西，但是Sulley相当接近...

我从未亲自使用过它，但我听说过它。此外，也许可以看看这个：

- Dave

我尝试了keturn的答案中提到的两种方法，但都不太合适。看起来我将在不久的将来自己开发一个开源的Firefox插件来解决这个问题。还是谢谢你的帮助！ - Dolph

1

- Toby

我刚刚安装了Paros并对我的项目进行了测试。渗透测试并不是我的目标，但该工具的功能符合我的要求...只需要更改输入行为即可。 - Dolph

0

迟到总比不到好，我刚刚发布了一个猴子测试的网络服务，我认为非常合适：

它点击链接并输入随机单词、长段落、电子邮件、密码、电话号码、日期、特殊字符、Javascript等。它删除输入内容，点击按钮、复选框和单选按钮，并从下拉菜单中进行选择。它还会在页面上随机点击。

多年来，我一直在我们公司的网站上使用类似的方法。让猴子测试运行几个小时，要么会出现一些意外的错误，要么你会感到更加放心地安排新的发布。

我希望其他人也能发现它有用。

免责声明：我是Elsetest的创始人，截至2023年6月，它仍处于早期发布阶段。

- wwwclaes

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- keturn · Accepted Answer

我曾使用Acunetix的试用版一段时间。它似乎相当有效，尽管花费的时间比我预想的要长，而且它肯定不是开源的。

我忘记了这个东西的名字，然后在SoftwareQATest的列表中重新找到了它。那个列表可能对你有用。OWASP上的测试工具列表看起来也很方便。