【Web安全】一款功能强大的Web身份认证测试框架

关于Raider

Raider是一款功能强大的Web身份认证测试框架，该框架被设计用来测试Web应用程序的身份认证机制。虽然像ZAProxy和Burpsuite这样的Web代理工具同样可以允许研究人员进行身份认证测试，但它们并不能提供测试认证过程本身的一个功能，即操纵相关输入字段来识别失效的身份验证。目前，真实场景中大多数身份验证漏洞都是通过手动测试或编写自定义脚本来识别的。而Raider的主要功能就是通过提供与现代身份验证系统中所有重要元素交互的接口，使测试的过程更简单。

功能介绍

Raider可以支持大多数现代身份认证系统，下面给出的是Raider提供的功能：

无限的认证步骤；

针对每一步骤支持无限的输入/输入；

可以根据情况决定下一步操作；

接收响应时执行任意操作；

可轻松创建自定义操作或插件；

工作机制

Raider会将身份验证机制视为有限状态机，每个身份验证步骤都是不同的状态，具有自己的输入和输出，它们可以是Cookie、Header、CSRF令牌或其他信息。

每个应用程序都需要使用自己的配置文件，才能让Raider正常工作，配置文件采用的是Hylang编写，因为有时有时身份验证会变得相当复杂，而使用静态配置文件不足以涵盖所有细节。Lisp使代码和数据的组合变得容易，这正是Raider所需要的。

工具安装

Raider可以通过Pypi进行安装：

$ pip3 install --user raider

参考资料

https://www.zaproxy.org/

https://portswigger.net/burp

https://docs.raiderauth.com/en/latest/

https://community.raiderauth.com/

关注我持续更新——私我获取【网络安全学习资料·攻略】