تقييم مقارن لـ OWASP ZAP وBurp Suite Community Edition وAcunetix لاكتشاف ثغرات تطبيقات الويب
DOI:
https://doi.org/10.65417/ljcas.v4i2.373الكلمات المفتاحية:
اختبار أمني ديناميكي للتطبيقات (DAST)أكيونيتيكس، بيرب سويت – الإصدار المجتمعي، ماسح ثغرات الويب، إيجابيات كاذبة) تنبيهات خاطئة تُظهر ثغرات غير موجودة ).الملخص
غالبًا ما يُقيَّم اختبار الأمن الديناميكي للتطبيقات (DAST) بعدّ تنبيهات الماسح فقط، رغم أن هذا العدد يخلط بين قابلية الوصول عبر الزاحف، وتكرار الإبلاغ، وجودة الحكم على الثغرات، والإيجابيات الكاذبة. يعرض هذا التقرير المسجَّل من المرحلة الأولى تجربة مضبوطة وقابلة لإعادة الإنتاج تقارن ZAP (المعروف سابقًا باسم OWASP ZAP)، وBurp Suite Community Edition، ونشرًا أكاديميًا أو تجريبيًا لـ Acunetix، على بيئتي DVWA وOWASP Juice Shop. يغطي التصميم حقن SQL، والبرمجة النصية عبر المواقع (المخزَّنة والمنعكسة)، وحقن الأوامر، وCSRF، وإخفاقات المصادقة والتحكم في الوصول، وسوء التهيئة الأمنية، وكشف البيانات الحساسة، واجتياز المسارات، وLFI/RFI، والكوكيز الضعيفة، ورؤوس الأمان المفقودة، وإعادة التوجيه المفتوحة، وكشف معلومات الخادم، مع تغطية إضافية وفق OWASP Top 10:2021. تُثبَّت وحدات اختبار إيجابية وضوابط سلبية مطابقة قبل فتح تقارير الماسح.
يفصل نمطا الاكتشاف بين فعالية الزحف من طرف إلى طرف والكشف المشروط بقابلية الوصول. توفر عشر تكرارات عشوائية لكل ماسح، ولكل تطبيق، ولكل نمط، بيانات زمنية وموارد، بينما يضمن التحكيم المزدوج المُعمّى تمييز النتائج الحقيقية من الكاذبة. تُحدَّد سلفًا مقاييس الدقة، والاسترجاع، ومعدل الإيجابيات الكاذبة، ونسبة الاكتشافات الخاطئة، وF1، والتغطية وفق OWASP، وزمن التنفيذ، واستهلاك الموارد، وتوزيع CVSS، والمنفعة العلاجية، وجودة التقرير، وسهولة الاستخدام، والتكامل مع CI/CD، إلى جانب الاختبارات الإحصائية المزدوجة وتصحيح تعدد المقارنات.
تُعامَل الفجوة في القدرات كاختلاف بنيوي: Community Edition تفتقر إلى Burp Scanner والزحف التلقائي، فنتائجها الذاتية غير منطبقة بنيويًا وليست صفرًا، وتُقيَّم ضمن مسار منفصل مدعوم بالمحلّل. يقدّم البروتوكول معيارًا قابلًا للتكذيب، ونموذج حقيقة أرضية مغلق، وإطار اختيار حسّاس للملف، وحزمة إعادة إنتاج كاملة، تمهيدًا لمقال لاحق قائم على الأدلة في المرحلة الثانية.
التنزيلات
