Wapiti es una aplicación que permite auditar la seguridad de sus aplicaciones web.
No estudia el código fuente de la aplicación, pero va a escanear las páginas web de la webapp, en busca de scripts y de formas en las que se puedan inyectar datos.
Posteriormente, Wapiti actúa como un fuzzer, inyectando payloads para ver si es vulnerable.

Se pueden detectar las siguientes vulnerabilidades:

  • Errores en el manejo de archivos (local y remote include/require, fopen, readfile…)
  • Inyecciones en base de datos (PHP/JSP/ASP SQL e inyecciones XPath)
  • XSS (Cross Site Scripting).
  • Inyección LDAP
  • Detección de comandos de ejecución (eval (), system (), passtru ()…)
  • CRLF

Wapiti no se basa en una base de datos de vulnerabilidades como lo hace Nikto, a pesar de que integra su base de datos como un tipo de ataque desde la versión 2.2.1

Wapiti tiene como objetivo descubrir vulnerabilidades desconocidas en las aplicaciones web.

No proporciona una interfaz gráfica para el momento y hay que usarlo desde un terminal.

Wapiti es capaz de crear informes completos que incluyen todas las vulnerabilidades encontradas y la información relacionada con el fin de ayudar a solucionarlos.

Descargar