Nessus Nessus号称是世界上最流行的漏洞扫描程序,全世…
标签: Nessus
2022年渗透测试的6个最常用工具
1.Wireshark Wireshark(前称Ethereal…
2021年值得持续关注的10大网安工具
本文将向您介绍10大优秀的网络安全工具,希望能够为您在对本企业的…
10 款程序员必备的免费开源安全工具
信息安全工程师、网络安全产品以及相关的技术和流程都需要耗费企业大…
游侠原创:利用OpenVAS快速打造漏洞评估系统
自从Nessus不开源了之后,好多“自主开发的国产”漏洞扫描器也…
漏洞扫描 盘旋在信息安全上空的全球鹰
天融信漏洞扫描系统,是能够自我充分洞察信息系统漏洞的扫描系统,对各种终端、设备、操作系统、应用,能够实时的、充分的发掘信息系统架构中存在的各种问题、漏洞,让管理人员提前预知和解决系统中存在的各中潜在问题。
漏洞扫描器Nessus 5.2新版发布
新版的Nessus漏洞扫描器发布啦!这是一次大更新,直接从5.0…
脆弱性评估产品:Nessus升级速度很慢、AWVS发布v8 BETA 2
用作渗透测试平台的系统已经很久没有升级了,刚给Nessus升级了…
游侠原创:在CentOS上安装Nessus
此前游侠曾经写过在Windows下面安装Nessus的文章,然后就有朋友问我,在Linux下面怎么安装?今天游侠以CentOS 6为例,讲解如何安装Nessus 4.4.1 。
操作系统游侠推荐用wdlinux——一个精简的CentOS,删除了一些无用的程序,速度飞快。下载地址为:http://www.wdlinux.cn/download_center 选择 基于 CentOS 6.0的精简版,游侠这里用的是64位版本。
游侠原创:利用Nessus进行WEB应用安全扫描
在此前的文章中,游侠谈到过 [免费网络和主机漏洞评估程序Nessus 4.2.0安装试用],可能有朋友注意到,Nessus只是扫描主机、网络设备等的漏洞,而对于目前相当流行的Web应用安全漏洞没有涉及,其实Nessus是有此项设置的,不过默认没有打开——理由是会延长扫描时间……游侠感觉还是有必要说一下的。
Nessus可以扫描的Web应用安全项目包括:
·SQL injection
·Cross-Site Scripting (XSS)
·HTTP Header Injection
·Directory Traversal
·Remote File Inclusion
·Command Execution
在Google搜了下,居然没有中文文档,就自己啃e文吧……
网路游侠——Nessus浏览器打不开的解决方法
不止在一个地方看到说安装了Nessus 4.2.0后,能ping通Server,但用浏览器却连不上的情况。昨天游侠(www.youxia.org)也遇到了……开启服务后,能ping通服务器,就是浏览器连不上。
游侠原创:通过SQL Server 5分钟获取服务器权限
去过很多单位,很多负责信息安全或安全保密的管理人员或技术人员对网络安全漏洞的危害并不清楚,不知道前一段的《密战》让多少人感觉必须增强保密意识?必须增强安全防范手段?
网路游侠:免费网络和主机漏洞评估程序Nessus 4.2.0安装试用
看到Nessus发布了最新版本:4.2.0,而我笔记本电脑安装的还是4.0.2,于是下载了个,装在虚拟机看看。
关于Nessus游侠就不多说了,作为这个星球上最知名的网络隐患扫描系统(并且可以免费使用),Nessus居然没有中文版……这一点……下面我简单的说下Nessus 4.2.0的安装、使用。
Nessus 4.2.0下载地址:http://www.nessus.org/download/
我下载的是Nessus 4.2.0 for Windows的版本,广泛适用于Windows XP, 2003, Vista, 2008 & 7,有32 bit和64 bit的可以用,按照自己需求下载就可以了,我下载的32 bit的。
安装不说了,相信看本文的都会,如果不会——建议找本Windows基础看看 🙂
装完后,在菜单选择:
当然,你需要获取一个“activation code”,这个在上图点击后的“主界面”获取就OK了。
下一步,需要“Update Plugins”,简单说就是升级插件,也就是漏洞库升级。需要周期较长,需要等待,淡定的等待……可以在论坛灌灌水、可以在农场偷偷菜!总之时间较长,需要淡定!
升级完后,点上图的“Manage Users”,添加一个属于你的账户。添加界面如下图:
Nessus 4.2.0和上一个版本4.0.2最大的区别就是从C/S模式改为了B/S模式,就是说你访问系统的时候可以直接通过浏览器,而不必要再安装一个可执行文件,远程的计算机也可以访问。在上面的帐号添加好之后,打开浏览器,输入你安装Nessus主机的地址,主要是https方式而不是http方式访问,端口是8834,如我的访问地址就是:https://192.168.1.121:8834/,输入刚添加的帐号和密码就Ok了。
主界面上面有4个按钮,分别是:Reports(报表)、Scans(扫描)、Policies(策略)、User(用户),其实也很简单,一眼就能看出来有什么作用。在User我们能进行用户的管理,增加、修改、删除账号,如:User→Add则会提示:
输入相关信息即可,当然你可以选择这个账号是否是Administrator(管理员)。
要进行安全评估,则首先要制定扫描策略,然后添加扫描范围,才能进行扫描,扫描完毕可以查看报表。就是上面说的几个按钮的用途。下面我们增加扫描策略:Policies→Add
基本上只要写“Name”即可,如果选择了Visibility为Shared,则别人也可以利用你这个策略进行扫描。填好后“Next”即可看到下面的界面:
我现在要扫描Windows主机,则在最上面选择“Windows Credentials”即可,下面的可以为空。然后“Next”
选择“Families”即可,就是你要扫描什么设备,实际上如果只扫描跑WEB服务的Windows主机,选择下面四个就可以了。选择好后“Next”,下一步可以设置数据库信息,不写了,直接“Submit”就完成。
添加完策略后,增加一个扫描任务,ScanS→Add
输入扫描任务的名称、选择我们刚才建立的策略、输入扫描目标(IP或域名)后点“Launch Scan”,扫描任务就开始了!亲爱的,我们现在就正在扫描了!新手激动?嘿嘿
一会儿就扫描完了,扫描过程中可以在“Scans”和“Reports”查看状态,扫描完后就可以在Reports下面看到Status为“Completed”。
这时候双击“WEB Server — YouXia”就可以查看报告了。
左侧的“Download Report”可以下载评估报告;“Show Filters”可以设置过滤器,比如只显示高级别报警,这样就可以按照威胁级别进行准确筛选。
双击“Host”可以列出详细的漏洞评估报告。如哪个端口存在威胁,级别是多少。你在这里依然可以双击,双击某个端口就可以显示详细信息。我在这里选择1433。双击后可以列出有3个高级别报警。
双击某一个可以显示详情。
概要、描述、方案、CVSS、CVE编号等,当然你可以选择“Download Report”导出你生成的日志到本机保存,这样更便于分析。
好了,各位,Nessus 4.2.0就说到这里,主要是和上个版本相比,评估人员控制台从C/S变成了B/S,更适合大项目多人协作评估,界面也更加友好。是不是跃跃欲试了?
现场直播到此结束,网路游侠(www.youxia.org)感谢各位的收看……再见!