AuthCov是一个基于JavaScript的Web认证覆盖扫描工具。

简介

AuthCov使用Chrome headless browser（无头浏览器）爬取你的Web应用程序，同时以预定义用户身份进行登录。在爬取阶段它会拦截并记录API请求及加载的页面，并在下一阶段，以不同的用户帐户“intruder”登录，尝试访问发现的各个API请求或页面。它为每个定义的intruder用户重复此步骤。最后，它会生成一份详细的报告，列出发现的资源以及intruder用户是否可以访问这些资源等。

以下是扫描本地Wordpress实例生成的示例报告：

特性

同时适用于单页面应用程序和传统的多页面应用程序

处理基于令牌和基于cookie的身份验证机制

生成HTML格式的深入报告

可以在报告中查看已爬取的各个页面的截图

安装

安装node 10。然后运行：

$ npm install -g authcov

使用

为要扫描的站点生成配置：

$ authcov new myconfig.js

更新myconfig.js中的值

运行以下命令测试配置值，以确保浏览器成功登录。

$ authcov test-login myconfig.js --headless=false

爬取站点：

$ authcov crawl myconfig.js

尝试intrusion在爬取阶段发现的资源：

$ authcov intrude myconfig.js

在以下位置查看生成的报告：./tmp/report/index.html

配置

可以在配置文件中设置以下选项：

配置登录

在配置文件中有两种配置登录的方法：

使用默认登录机制，使用puppeteer在指定的输入中输入用户名和密码，然后单击指定的提交按钮。这可以通过在配置文件中设置loginConfig选项来配置。你也可以查看此处的示例。

"loginConfig": {
  "url": "http://localhost/login",
  "usernameXpath": "input[name=email]",
  "passwordXpath": "input[name=password]",
  "submitXpath": "#login-button"
}

如果你的登录表单较复杂并且涉及多用户交互，那么你可以在配置文件中定义自己的puppeteer函数，就像这样。同样，你可以查看此处的示例。

"loginFunction": async function(page, username, password){
  await page.goto('http://localhost:3001/users/sign_in');
  await page.waitForSelector('input[type=email]');
  await page.waitForSelector('input[type=password]');
  await page.type('input[type=email]', username);
  await page.type('input[type=password]', password);
  await page.tap('input[type=submit]');
  await page.waitFor(500);
  return;
}

不要忘记在headful mode下运行authcov test-login命令，以验证浏览器是否成功登录。

Unit Tests

Unit tests：

$ npm test test/unit

Integration tests：

首先下载并运行示例应用，然后运行测试：

$ npm test test/integration

*参考来源：GitHub，FB小编secist编译，转载请注明来自FreeBuf.COM