“受動的”な検出ツール，Web 2.0系のぜい弱性に強み：ITpro（情報元のブックマーク数）
MBSDの寺田さんによるratproxyのレビューだ
検査パターンの特色としては，クロスサイト・スクリプティング（XSS）のうち，比較的最近発見された手法や，Web2.0的なアプリケーションの検査の領域に強みがあります。一方で，SQLインジェクションがほとんど検出できない，誤検出が多い（ratproxyはあくまでもぜい弱の「疑い」があるものを検出するだけで，検出するものの中には実際にはぜい弱性でないものも多く含まれている）といった弱みもあります。
“受動的”な検出ツール，Web 2.0系のぜい弱性に強み | 日経 xTECH（クロステック）
これは、面白いなぁ。HTTPリクエストを見て、はせがわさん並みの勘で脆弱性を検知するという仕組みらしい＞ratproxy
全然しらなかったｗｗｗｗｗｗｗｗｗｗｗ
一般に能動的な検査ツールは，パラメータに様々な細工を施してHTTPリクエストを発行します。SQLインジェクションやXSSなど数多くの種類のぜい弱性の存在を確認するためには，大量の細工したHTTPリクエストを検査対象アプリケーションに対して発行しなければなりません。
“受動的”な検出ツール，Web 2.0系のぜい弱性に強み | 日経 xTECH（クロステック）
これに対して受動的ツールのratproxyでは，一般的な検査ツールとは違って，基本的にパラメータに細工を施してHTTPリクエストを送ることはしません。“プロキシ”として検査対象のWebサイトに対する正常なHTTP通信をウォッチし，それだけで得られる情報の範囲でぜい弱性を探そうとします。厳密に言うと細工したHTTPリクエストを全く送らないわけではないのですが，そのようなHTTPリクエストの発行は最小限にするというポリシーで作られています。
受動的な検査のメリットは，検査対象のアプリケーション/システムに与える影響が小さいことです。能動的な検査ツールは，大量の検査リクエストによりサーバーに過大な負荷をかけたり，大量のゴミ・データが登録されたりといった影響を検査対象サイトに与えます。ratproxyでは，そのような影響を最小限に抑えられます。
