标签： Nessus

Nessus Nessus号称是世界上最流行的漏洞扫描程序，全世界有超过75000个组织在使用它。该工具提供完整的电脑漏洞扫描服务，并随时更新其漏洞数据库。Nessus不同于传统的漏洞扫描软件，Nessus可同时在本机或远端上遥控，进行系统的漏洞分析扫描。对应渗透测试人员来说，Nessus是必不可少的工具之一。所以，本章将介绍Nessus工具的基础知识。 Nessus概述 Nessus通常包括成千...

1.Wireshark Wireshark（前称Ethereal）是一个网络分包分析软件，是世界上使用最多的网络协议分析器。Wireshark 兼容所有主要的操作系统，如 Windows、Linux、macOS 和 Solaris。 kali系统里面自带有这个软件，我们可以直接使用；或者可以在网上下载windows版本，在windows系统里使用。 使用wireshark进行抓包 1、混杂模式概述...

本文将向您介绍10大优秀的网络安全工具，希望能够为您在对本企业的安全总体加固，以及计划2021年的安全预算时提供参考。 【51CTO.com快译】如今，随着大数据、物联网、人工智能、机器学习等新技术逐渐出现在我们的日常生活中，随着大量公司陆续成功地完成并实现了数字化转型，各种网络威胁与犯罪也在呈指数级增加。根据Statista的统计(如下图所示)，在2019年，网络安全漏洞造成了全球2038万美元...

信息安全工程师、网络安全产品以及相关的技术和流程都需要耗费企业大量的成本，对于大部分企业来说，往往会缩减这一部分的支出，因此许多开发人员都会首选免费的开源安全工具。事实上，无论是学习，试验，还是在生产基础上进行部署，安全专业人员长期以来都将开源软件视为其工具包的重要组成部分。 本文我们将盘点10个你应该知道的IT安全工具包： 1、Nessus 对于几代IT安全专业人士来说，意识到网络的脆弱性始于T...

自从Nessus不开源了之后，好多“自主开发的国产”漏洞扫描器也都不太更新了……很多朋友还是偏爱开源软件，所以今天就给大家带来一款全新的、开源的漏洞评估系统：OpenVAS。 几年前就注意到了OpenVAS，但说实话：OpenVAS配置还是比较麻烦的，远不如Nessus人性化……不过前几天游侠在群里面提到OpenVAS没有虚拟机方便测试的时候，有朋友说：现在有了啊！OK，那就省事多了！ 虚拟机版本...

天融信漏洞扫描系统，是能够自我充分洞察信息系统漏洞的扫描系统，对各种终端、设备、操作系统、应用，能够实时的、充分的发掘信息系统架构中存在的各种问题、漏洞，让管理人员提前预知和解决系统中存在的各中潜在问题。

新版的Nessus漏洞扫描器发布啦!这是一次大更新，直接从5.0.3至5.2.0。同时，这次升级包括了一系列新特性和改进。 Nessus 5.2 新特性 IPv6 全平台支持 (包括Windows) 支持Windows 8 和Windows 2012 扫描结果报告中新增附件 Mac OS X 特性 发布Nessus RPM包 减少系统消耗 更快更可靠的web扫描接口 不再需要访问Tenable官网...

用作渗透测试平台的系统已经很久没有升级了，刚给Nessus升级了下规则库。速度一如既往的慢……不过还好，没有提示“could not verify the signature of all-2.0.tar.gz”错误，就是万幸啊！ 新版本内置了几个规则，不过看了下配置，貌似各个规则之间没什么区别，按说局域网扫描、互联网扫描、WEB应用扫描规则应该是不一样的啊——还是，游侠我没搞明白？ 然后发现Ac...

　　此前游侠曾经写过在Windows下面安装Nessus的文章，然后就有朋友问我，在Linux下面怎么安装？今天游侠以CentOS 6为例，讲解如何安装Nessus 4.4.1 。

　　操作系统游侠推荐用wdlinux——一个精简的CentOS，删除了一些无用的程序，速度飞快。下载地址为：http://www.wdlinux.cn/download_center 选择 基于 CentOS 6.0的精简版，游侠这里用的是64位版本。

　　在此前的文章中，游侠谈到过 [免费网络和主机漏洞评估程序Nessus 4.2.0安装试用]，可能有朋友注意到，Nessus只是扫描主机、网络设备等的漏洞，而对于目前相当流行的Web应用安全漏洞没有涉及，其实Nessus是有此项设置的，不过默认没有打开——理由是会延长扫描时间……游侠感觉还是有必要说一下的。
　　Nessus可以扫描的Web应用安全项目包括：
　　·SQL injection
　　·Cross-Site Scripting (XSS)
　　·HTTP Header Injection
　　·Directory Traversal
　　·Remote File Inclusion
　　·Command Execution
　　在Google搜了下，居然没有中文文档，就自己啃e文吧……

不止在一个地方看到说安装了Nessus 4.2.0后，能ping通Server，但用浏览器却连不上的情况。昨天游侠（www.youxia.org）也遇到了……开启服务后，能ping通服务器，就是浏览器连不上。

去过很多单位，很多负责信息安全或安全保密的管理人员或技术人员对网络安全漏洞的危害并不清楚，不知道前一段的《密战》让多少人感觉必须增强保密意识？必须增强安全防范手段？

　　看到Nessus发布了最新版本：4.2.0，而我笔记本电脑安装的还是4.0.2，于是下载了个，装在虚拟机看看。
　　关于Nessus游侠就不多说了，作为这个星球上最知名的网络隐患扫描系统（并且可以免费使用），Nessus居然没有中文版……这一点……下面我简单的说下Nessus 4.2.0的安装、使用。
　　Nessus 4.2.0下载地址：http://www.nessus.org/download/
　　我下载的是Nessus 4.2.0 for Windows的版本，广泛适用于Windows XP, 2003, Vista, 2008 & 7，有32 bit和64 bit的可以用，按照自己需求下载就可以了，我下载的32 bit的。
　　安装不说了，相信看本文的都会，如果不会——建议找本Windows基础看看 🙂
　　装完后，在菜单选择：

　　当然，你需要获取一个“activation code”，这个在上图点击后的“主界面”获取就OK了。
　　下一步，需要“Update Plugins”，简单说就是升级插件，也就是漏洞库升级。需要周期较长，需要等待，淡定的等待……可以在论坛灌灌水、可以在农场偷偷菜！总之时间较长，需要淡定！

　　升级完后，点上图的“Manage Users”，添加一个属于你的账户。添加界面如下图：

　　Nessus 4.2.0和上一个版本4.0.2最大的区别就是从C/S模式改为了B/S模式，就是说你访问系统的时候可以直接通过浏览器，而不必要再安装一个可执行文件，远程的计算机也可以访问。在上面的帐号添加好之后，打开浏览器，输入你安装Nessus主机的地址，主要是https方式而不是http方式访问，端口是8834，如我的访问地址就是：https://192.168.1.121:8834/，输入刚添加的帐号和密码就Ok了。
　　主界面上面有4个按钮，分别是：Reports（报表）、Scans（扫描）、Policies（策略）、User（用户），其实也很简单，一眼就能看出来有什么作用。在User我们能进行用户的管理，增加、修改、删除账号，如：User→Add则会提示：

　　输入相关信息即可，当然你可以选择这个账号是否是Administrator（管理员）。
　　要进行安全评估，则首先要制定扫描策略，然后添加扫描范围，才能进行扫描，扫描完毕可以查看报表。就是上面说的几个按钮的用途。下面我们增加扫描策略：Policies→Add

　　基本上只要写“Name”即可，如果选择了Visibility为Shared，则别人也可以利用你这个策略进行扫描。填好后“Next”即可看到下面的界面：

　　我现在要扫描Windows主机，则在最上面选择“Windows Credentials”即可，下面的可以为空。然后“Next”

　　选择“Families”即可，就是你要扫描什么设备，实际上如果只扫描跑WEB服务的Windows主机，选择下面四个就可以了。选择好后“Next”，下一步可以设置数据库信息，不写了，直接“Submit”就完成。
　　添加完策略后，增加一个扫描任务，ScanS→Add

　　输入扫描任务的名称、选择我们刚才建立的策略、输入扫描目标（IP或域名）后点“Launch Scan”，扫描任务就开始了！亲爱的，我们现在就正在扫描了！新手激动？嘿嘿
　　一会儿就扫描完了，扫描过程中可以在“Scans”和“Reports”查看状态，扫描完后就可以在Reports下面看到Status为“Completed”。

　　这时候双击“WEB Server -- YouXia”就可以查看报告了。

　　左侧的“Download Report”可以下载评估报告；“Show Filters”可以设置过滤器，比如只显示高级别报警，这样就可以按照威胁级别进行准确筛选。
　　双击“Host”可以列出详细的漏洞评估报告。如哪个端口存在威胁，级别是多少。你在这里依然可以双击，双击某个端口就可以显示详细信息。我在这里选择1433。双击后可以列出有3个高级别报警。

　　双击某一个可以显示详情。

　　概要、描述、方案、CVSS、CVE编号等，当然你可以选择“Download Report”导出你生成的日志到本机保存，这样更便于分析。
　　好了，各位，Nessus 4.2.0就说到这里，主要是和上个版本相比，评估人员控制台从C/S变成了B/S，更适合大项目多人协作评估，界面也更加友好。是不是跃跃欲试了？
　　现场直播到此结束，网路游侠（www.youxia.org）感谢各位的收看……再见！