La force de Burp ou ZAP (que j'utilise moi-même) c'est surtout le fonctionnement en proxy intercepteur qui permettent de trouver efficacement les requêtes dynamiques (ajax / flash et compagnie) et c'est là ou Wapiti aura tendance à pécher.
Après Wapiti a un fonctionnement totalement automatique là où une utilisation de ZAP requerra plus d’interaction humaine.
Wapiti sera bien pour faire le gros du boulot et trouver les failles les plus évidentes rapidement et ZAP sera à privilégier pour trouver les failles moins évidentes sur lesquelles il faut fouiller un peu et qui demanderont plus de minutie.
Ce côté automatique de Wapiti peut être utile pour mettre par exemple en place un process de test sécurité continu sur une application web.
[^] # Re: VS ZAP et le reste ?
Posté par devoop . En réponse à la dépêche Wapiti 3.0.0 : Nouvelle version du scanneur de vulnérabilités Web. Évalué à 10.
Bonjour,
La force de Burp ou ZAP (que j'utilise moi-même) c'est surtout le fonctionnement en proxy intercepteur qui permettent de trouver efficacement les requêtes dynamiques (ajax / flash et compagnie) et c'est là ou Wapiti aura tendance à pécher.
Après Wapiti a un fonctionnement totalement automatique là où une utilisation de ZAP requerra plus d’interaction humaine.
Wapiti sera bien pour faire le gros du boulot et trouver les failles les plus évidentes rapidement et ZAP sera à privilégier pour trouver les failles moins évidentes sur lesquelles il faut fouiller un peu et qui demanderont plus de minutie.
Ce côté automatique de Wapiti peut être utile pour mettre par exemple en place un process de test sécurité continu sur une application web.