Books.Ru: первая книга о fuzzing — перспективной технологии тестирования ПО, готовится к выходу!

Привет!
Books.Ru решил стать ближе к хаброжителям и информировать вас первыми обо всем, что у нас интересного происходит. С нетерпением ждем выхода новой книжки, которая уже вот-вот появится в продаже (кстати, до выхода ее можно приобрести по спеццене, так что вперед :)

Fuzzing: исследование уязвимостей методом грубой силы Кто еще не знает о том, что такое фаззинг, мы постраемся рассказать все по делу. Итак, Fuzzing — перспективная технология тестирования программ, которая только начинает набирать обороты в России. Специалистов по ней в нашей стране мало, а книг на русском до последнего момента не было.
Выйдет эта радость тестировщика в старом добром издательстве «Символ-Плюс» (наверяка все помнят замечательные книжку по Django и что мужик делает со змеей).
Надеемся, что теперь охота на баги будет более продуктивной :)



Конечно же западные умные товарищи написали о ней кучу отзывов. Например, вот:

«Эта книга — первая попытка отдать должное фаззингу как технологии. Сведений, которые даются в книге, достаточно для того, чтобы начать подвергать фаззингу новые продукты и создавать собственные эффективные фаззеры. Ключ к эффективному фаззингу состоит в знании того, какие данные и для каких продуктов нужно использовать и какие инструменты необходимы для управления процессом фаззинга, а также его контролирования. Авторы книги — пионеры в этой области, они проделали большую работу, раскрывая хитрости процесса фаззинга. Удачной охоты на баги!» — Х. Д. Мур

«В этой книге есть ряд очень важных вещей, о которых необходимо прочитать любому тестеру: как и почему работает SPIKE; как написать фаззер .flv; как написать компонент ActiveX для фаззинга на Python и что самое важное — честный разбор всех недостатков фаззинга и дельные советы, как эти недостатки обойти.» — David Aite

Чтобы не отставать от западных коллег, мы с удовольствием пошлем эту книгу тому, кто пообещает ее прочитать и честно написать грамотную рецензию, в которой изложит минусы и плюсы этого самого заморского fuzzing'a :)

п.с. господа-товарищи, предупреждаем сразу. Две прекрасные девочки, которые будут вести этот блог и рассказывать вам новости, пока к сожалению не мастера фаззинга (ого, как звучит! :), так что заранее просим прощения, если неполно ответим на ваши вопросы. Но мы будем стараться, честно-честно ;)
+21
2 сентября 2009, 10:42
24
BooksDotRu 21,0

комментарии (17)

+7
Jenyay #
О, Буш стал подрабатывать моделью для обложек :)
+2
BooksDotRu #
Не все бывшие президенты становятся премьерами :) кому-то приходится и так исхитряться)
+1
ukko #
А есть ли примеры использования этой технологии с проектами на php, и какие-нибудь «success story»?
+1
zabr #
0
ukko #
Грасиас :)
+2
BooksDotRu #
Технология универсальная и применима к различным проектам, в т.ч. и написанным на php. Там целых 2 главы, посвященные фаззингу веб-приложений и серверов и какие уязвимости характерны для какого языка.

Что же касается саксесс стори, ищу *) вот про php пока ничего сказать не могу, могу про win рассказать если хотите)
у них с багами все окей, поэтому-то фаззингом ребята активно занимаются еще с 2004 года.
0
ukko #
Спасибо, будем читать книжку :)
+4
kvf77 #
Как всегда ни слова о том, что это за зверь. Неужели так сложно было выделить первый абзац из рецензии на книгу, а не заставлять людей тратить время на поиски.
+8
zabr #
Fuzzing — технология тестирования программ, когда вместо ожидаемых входных данных программе передаются случайные данные. Если программа зависает или завершает работу это считается нахождением дефекта в программе, который может привести к обнаружению уязвимости. Большим преимуществом фуззинга является его простота и возможность автоматического анализа.

Примером фаззера может быть библиотека для Linux(and Solaris) – sharefuzz, предназначенная для тестирования типичных вариантов переполнения локальных буферов в setuid.

Из windows-фазеров можно отметить OWASP JBroFuzz – фаззер уязвимостей, работает с HTTP, SOAP, XML, LDAP протоколами. Позволяет выявить XSS, SQL-injection, переполнения буфера, FSE и многие другие уязвимости крайне нестандартными методами.

На проекте Google Code можно найти еще фаззеры. К примеру, Bunny the Fuzzer (http://code.google.com/p/bunny-the-fuzzer) — фаззер программ, написанных на C. Работает под Linux, FreeBSD, OpenBSD, и Cygwin.
+2
zabr #
Про SPIKE (Вкратце это такой fuzz фреймворк позволяющий расхакать различные протоколы в частности произвести частичный reverse-инжиниринг и сгенереривать и использовать «плохие значения» для подбора ошибок):

www.immunitysec.com/resources-freesoftware.shtml
www.blackhat.com/presentations/bh-usa-02/bh-us-02-aitel-spike.ppt
www.fuzzing.org/wp-content/sample_chapter.pdf
www.immunitysec.com/resources-papers.shtml
0
BooksDotRu #
В книжке авторы пишут о них о всех + рассказывают как решили сделать собственный WebFuzz
fuzzing.org/wp-content/WebFuzz.zip
+1
linki #
Книга в оригинале вышла еще в 2007, на русском только сейчас. Данные не устарели?
0
BooksDotRu #
Сами понимаете, что перевод книги — дело не одного дня. Издатели старались актуальную информацию выдать. Конечно, появилось еще много всего, но суть вряд ли изменилась.

Тем более в печатном виде про фаззингу пока в РФ ничего не выходило. Вот если бы российские авторы успевали за западными тенденциями, мы бы имели больше актуальных книг, а не переводили уже изданные.

0
linki #
Все причины такой задержки понятны. А по ходу перевода книги, были ли дополнения данными по технологии на текущее время перевода?
+1
f_s_b_37 #
Учитывая полное отсутствие информации по нечеткому тестированию на русском издателю и на том спасибо. Книжку однозначно в вишлист на ближайшее время.
0
korchasa #
>Специалистов по ней в нашей стране мало
А как же мужики и японская пила?

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.