张百川（网路游侠）的博客

　　昨天游侠写过一篇文章 [关于几个免费在线挂马检测网站] ，说到了北京知道创宇公司的“知道网站安全体检中心”，他们的工作人员很及时的给我发了个内测账号，这里大体说下。当然网址是 http://www.scanv.com 大家可以去申请内测账号。
　　流程基本是这样：
　　1、发邮件到知道网站安全体检中心，邮箱网站有
　　2、等待收到邀请，有个URL，点击打开网站后用收到邮件的信箱注册
　　3、添加要检测的网站。分普通体检、专家体检两部分。普通体检只是检测是否被挂马，专家体检则包括“敏感关键词、挂马、网站备案、SQL注入、XSS”等检测内容，可以选择扫描周期。
　　4、专家体检需要等待扫描结束，就可以查看体检报告了！
　　下面简单说说，界面相当简洁，一眼就能看明白：

　　在“普通体检”可以增加“我关注的网站”，这里无需做任何验证，只要写入URL即可。如下图：

　　看看添加后的界面：

　　当然除了看到的，还有这些项目：检测次数、挂马次数、开始监控时间、最后挂马时间。基本够用了。
　　对于站长朋友们而言，更需要的是“专家体检”，看看添加界面：

　　需要输入网址、检测深度、最大页数、基本检测（提供1-7天周期，提供敏感关键词、挂马检测、网站ICP备案检测）、高级检测（提供2-28天周期，提供SQL注入漏洞检测、跨站脚本（XSS）漏洞检测）、提供邮件提醒。对于绝大多数对网站安全一无所知的站长而言，相当容易配置，相信1分钟就可以快速添加自己的网站。
　　添加好后是这样的：

　　当然，你刚添加完在“检测结果”看到的是正在检测，等一会就扫描完了，就和上图一样了。
　　下面给个单次扫描结果，游侠博客（www.youxia.org）的：

　　提示有跨站脚本漏洞。手工测试了下，貌似也不大好利用。
　　下面的是综合性安全评估报表里面的一部分内容：

　　整体而言，“知道网站安全体检中心”做的还是不错的，如果您有兴趣可以去申请个测试账号看看。

　　网上经常有朋友问游侠（www.youxia.org），有什么好的WEB应用安全扫描产品，这里大体的说下。
　　国内这类产品不算多，当然国外也不算多，数来数去，就那么几个，画个图看看：

　　商业产品*国外
　　·Acunetix Web Vulnerability Scanner 6：简称WVS，还是不错的扫描工具，不知道检查的太细致还是因为慢，总之经常评估一个网站的时候一晚上不关电脑都扫描不万……但是报表做的不错。一般用这个扫描的话，不用等那么久，像区县政府的，扫20分钟就差不多了。
　　·IBM Rational AppScan：这个是IBM旗下的产品，扫描速度中规中矩，报表功能相当强大，可以按照法规遵从生成不同的报表，如：ISO27001、OWASP等，界面也很商业化。
　　·HP WebInspect：没错，的确就是卖PC的HP公司旗下的产品，扫描速度比上面的2个都快得多，东西还算不错。不过这几天在和NOSEC（下面说的“诺赛科技”）掐架，愣是说NOSEC的iiScan免费扫描平台侵犯隐私，说NOSEC有国家背景……这市场了解的！
　　·N-Stealth：没装成功，不过很多地方在推荐这个
　　·Burp Suite：貌似是《黑客攻防技术宝典·WEB实战篇》作者公司搞的，安全界牛人。虽然工具没用过，但是这本书的确是不错……如果您做WEB安全，游侠强烈建议您读一下。

商业产品*国内
　　·智恒联盟 WebPecker 网站啄木鸟：程序做的不错，扫描速度很快。
　　·诺赛科技 Pangolin、Jsky：Pangolin做SQL注入扫描，Jsky全面评估，就是上文说的NOSEC，网上扫描平台是iiScan，后台的牛人是zwell。
　　·安域领创 WebRavor：记得流光（FluXay）否？是的，WebRavor就是小榕所写！小榕是谁？搜下……不用我介绍了吧？
　　·安恒 MatriXay 明鉴WEB应用弱点扫描器：还没用过，和NOSEC一样，也有网上扫描平台。
　　·绿盟 NSFOCUS RSAS 极光远程安全评估系统：极光扫描系统新增的WEB安全评估插件，在某客户处见到过扫描报告，不过没用过产品。依照绿盟的一贯风格和绿盟的实力，应该不错。

免费产品
　　·Nikto：很多地方都在推荐，但游侠本人实在不喜欢命令行产品……各位喜欢的Google或Baidu下吧
　　·Paros Proxy：基于Java搞的扫描工具，速度也挺快，在淘宝QA团队博客也看到在介绍这个软件。
　　·WebScarab：传说中很NB的OWASP出的产品，不过我看下载地址的时候貌似更新挺慢
　　·Sandcat：扫描速度很快，检查的项目也挺多。机子现在就装了这个。
　　------------
　　·NBSI：应该说是黑客工具更靠谱，国内最早的，可能也是地球上最早的一批SQL注入及后续工作利用工具，当年是黑站挂马必备……
　　·HDSI：教主所写，支持ASP和PHP注入，功能就不多说了，也是杀人越货必备！
　　·Domain：批量扫描的必备产品，通过whois扫描服务器上的服务器，在很长一段时间内风靡黑客圈。
　　------------
　　·Nessus：当然它有商业版，不过我们常用的是免费版。脆弱性评估工具，更擅长于主机、服务器、网络设备扫描。
　　·NMAP：主要倾向于端口等的评估。
　　·X-Scan：安全焦点出品，多少年过去了，依然是很强悍的产品。大成天下曾经做过商业版的“游刃”，但最近已经不更新了，很可惜。

　　其实能做评估的工具还有很多，如：
　　·Retina Network Security Scanner
　　·LANguard Network Security Scanner
　　·榕基RJ-iTop网络隐患扫描系统
　　不过和Nessus和NMAP一样，主要倾向于主机安全评估，而不是WEB应用安全评估。但我们在WEB安全评估的时候，不可避免的要对服务器做安全扫描，因此也是必然要用的工具。

　　好了，大体的也说了下，各位感兴趣的可以在网上找下相关资料或下载。看完感觉有点收获的，就转发给您的朋友吧。现在都凌晨了，刚敲完……游侠（www.youxia.org）在此谢过了！

作者：张百川（网路游侠）
网站：http://www.youxia.org
　　　转载请注明来源！谢谢合作。

　　大家应该都记得曾经风靡一时的X-Scan、流光吧？当然与此类似的评估工具还有很多。但是随着技术的发展，现在前面提到的2款安全扫描工具由于偏重于主机系统扫描，但现在WEB服务器、数据库服务器、业务服务器前一般都部署了防火墙、入侵检测等系统，因此并不容易扫描出有效的漏洞。因此，网上应用安全扫描平台应运而生。
　　当然，做WEB应用扫描的话，需要较深的技术功底，就目前最流行的攻击手法而言，是：SQL注入、跨站、表单绕过。当然在这里就SQL注入也细分很多种，跨站也是了。游侠（http://www.youxia.org）到厂商要了个测试账号。下面给大家一起看看！
　　当然，利用网上应用安全扫描平台对网站进行安全评估的过程和X-Scan、流光的差不多，但是由于产品包含有渗透测试模块，因此为了防止误用、滥用，增加了审核模块。在网上平台提交了需要扫描的对象后，需要下载一个特征码文件，传到WEB服务器上，认证后才能通过！
　　下图是第一步，增加一个扫描对象。我们可以看到只要输入网站名称、URL、网站类型即可。很简单。

　　添加网站后，需要提交验证，并等待厂商相关部门的审核，通过之后是这样子：

　　在这里，打上“√”点“开始扫描”就可以了。当然，还可以选择扫描带宽、渗透测试的范围等。由于“排队扫描”的人太多，需要等待……要是可以提高我的优先级就好了！
　　补上一句，扫描是要收费滴！因为这个平台是运营的。下面是我账号的信息：

　　写到这里，想来想去，由于截图的网站前部署了防火墙，并且用的都是最新的程序，估计也扫描不出多少结果，于是干脆换一个网站，一个有点漏洞的网站，这样效果比较明显——就这样华丽的逆转了！ :)
　　扫描结束了，下面是网站脆弱性评估报表，当然下面只截取了图：

　　脆弱性评估报表图下面详细的描述了漏洞名称、风险等级、风险相关的Url和参数等信息。下面是一个详细的描述：

　　这样很简单的就进行了一次网站的整体安全评估，对于没有想及时了解网站安全性的单位还是很有必要的，并且评估一次的价格也不高 呵呵。

More...