Auf der Security-Konferenz Defcon in Las Vegas ist Grendel-Scan vorgestellt worden, ein Testwerkzeug für die Sicherheit von Webanwendungen, das nun in Version 1.0 vorliegt.
Das Open-Source-Tool ist in Java umgesetzt und steht daher für vielfältige Plattformen zur Verfügung. Es verwendet Java-Komponenten aus dem Apache-Projekt, Mozillas Javascript-Engine Rhino sowie die Datenbank des freien Scanners Nikto.
Grendel-Scan lässt sich als Proxy zwischen Browser und zu untersuchender Website schalten, so dass der Tester den HTTP-Verkehr ansehen und verändern kann. Die Anwendung vereint ein breite Palette an Tests auf Cross-Site-Scripting (XSS), Cross-Site Request Forgery (CSRF), SQL-Injection sowie Schwächen des Session Managments.
Ein Überblick über die Features von Grendel-Scan finden sich in einer Powerpoint-Präsentation der Entwickler.
Die Macher David Byrne und Eric Duprey heben als besonderen Vorteil ihrer Software hervor, dass sie Tests auf triviale Sicherheitslücken automatisiert durchführen kann. So lassen sich Arbeitsstunden qualifizierter Security-Mitarbeiter einsparen, die sich dann auf anspruchsvollere manuelle Untersuchungen konzentrieren können. Individuelle Security-Tests und Code Review sind nach Ansicht der Entwickler nämlich weiterhin notwendig, um die Sicherheit einer Webanwendung zu gewährleisten: Ein Werkzeug wie Grendel-Scan könne beispielsweise Schwächen in Logik oder Konzept der Anwendung nicht erkennen.
Das unter GPLv3 lizenzierte Tool besitzt neben Java 5 keine weiteren Abhängigkeiten. Auf der Downloadseite des Projekts steht Grendel-Scan 1.0 im Quelltext sowie in Builds für Linux, Windows und Mac OS X zum Download bereit. Daneben gibt es eine Slax-basierte Live-CD mit dem Scanner samt einer fehlerhaften Webanwendung zu Demonstrationszwecken. Das ISO-Image enthält allerdings noch Grendel-Scan in Version 0.9.
