Acunetix Web Vulnerability Scanner 是一款国外产的及其优秀的扫描工具,可以帮忙挖掘网站内的诸多漏洞,包括常见的SQLinjection,XSS(很多自认为牛人的就喜欢用WVS扫站发现XSS就公布说是他发现的…)。既然WVS这么牛,那咱们就不给他访问网站的机会,像堵SQL注入一样来堵住它。
分析了一下WVS扫描时候的头文件,基本都包含它网站的英文名称:acunetix,于是我们从这个名称下手了。以下是三个版本的代码
网络安全和数据安全:资讯、技术、法规、趋势……
Acunetix Web Vulnerability Scanner 是一款国外产的及其优秀的扫描工具,可以帮忙挖掘网站内的诸多漏洞,包括常见的SQLinjection,XSS(很多自认为牛人的就喜欢用WVS扫站发现XSS就公布说是他发现的…)。既然WVS这么牛,那咱们就不给他访问网站的机会,像堵SQL注入一样来堵住它。
分析了一下WVS扫描时候的头文件,基本都包含它网站的英文名称:acunetix,于是我们从这个名称下手了。以下是三个版本的代码
在此前的文章中,游侠谈到过 [免费网络和主机漏洞评估程序Nessus 4.2.0安装试用],可能有朋友注意到,Nessus只是扫描主机、网络设备等的漏洞,而对于目前相当流行的Web应用安全漏洞没有涉及,其实Nessus是有此项设置的,不过默认没有打开——理由是会延长扫描时间……游侠感觉还是有必要说一下的。
Nessus可以扫描的Web应用安全项目包括:
·SQL injection
·Cross-Site Scripting (XSS)
·HTTP Header Injection
·Directory Traversal
·Remote File Inclusion
·Command Execution
在Google搜了下,居然没有中文文档,就自己啃e文吧……
在国内一些网站上经常看到文章说某某WEB应用安全评估工具排名,但是很可惜,绝大多数都是国外人搞的,界面是英文,操作也不方便,那游侠就在这里综合下,列举下国内WEB安全评估人员常用的一些工具。
近来在网络游侠的blog是看到一篇文章:《[网路游侠:WEB应用安全扫描产品概述] 》列举了一些国内外商业的免费的web扫描器及其的一些特点… 他这个问题是在产品推荐的角度上的,可以看的出来web扫描平台的市场竞争还是非常大。
在实现的技术是来说,他们都是基于url爬行的基础上的,对于基本上很多都是通过正则提取url及参数,只是有的提取url和参数不太一样,很少直接提取,一般都是通过本地代理[类似于代理中间人攻击]来提取。这样的爬行对于web2.0的时代来说,已经有那么点落后了,如复杂的ajax,flash应用,以及js混淆等…
…
刚要的iiScan邀请码,速度测试……网址是:http://www.iiscan.com/
注册就不说了,填写邀请码即可,然后会给你发邮件,验证下就OK。
界面相对来说很简洁,一眼就看明白了:
网上经常有朋友问游侠(www.youxia.org),有什么好的WEB应用安全扫描产品,这里大体的说下。
国内这类产品不算多,当然国外也不算多,数来数去,就那么几个,画个图看看:
商业产品*国外
·Acunetix Web Vulnerability Scanner 6:简称WVS,还是不错的扫描工具,不知道检查的太细致还是因为慢,总之经常评估一个网站的时候一晚上不关电脑都扫描不万……但是报表做的不错。一般用这个扫描的话,不用等那么久,像区县政府的,扫20分钟就差不多了。
·IBM Rational AppScan:这个是IBM旗下的产品,扫描速度中规中矩,报表功能相当强大,可以按照法规遵从生成不同的报表,如:ISO27001、OWASP等,界面也很商业化。
·HP WebInspect:没错,的确就是卖PC的HP公司旗下的产品,扫描速度比上面的2个都快得多,东西还算不错。不过这几天在和NOSEC(下面说的“诺赛科技”)掐架,愣是说NOSEC的iiScan免费扫描平台侵犯隐私,说NOSEC有国家背景……这市场了解的!
·N-Stealth:没装成功,不过很多地方在推荐这个
·Burp Suite:貌似是《黑客攻防技术宝典·WEB实战篇》作者公司搞的,安全界牛人。虽然工具没用过,但是这本书的确是不错……如果您做WEB安全,游侠强烈建议您读一下。
商业产品*国内
·智恒联盟 WebPecker 网站啄木鸟:程序做的不错,扫描速度很快。
·诺赛科技 Pangolin、Jsky:Pangolin做SQL注入扫描,Jsky全面评估,就是上文说的NOSEC,网上扫描平台是iiScan,后台的牛人是zwell。
·安域领创 WebRavor:记得流光(FluXay)否?是的,WebRavor就是小榕所写!小榕是谁?搜下……不用我介绍了吧?
·安恒 MatriXay 明鉴WEB应用弱点扫描器:还没用过,和NOSEC一样,也有网上扫描平台。
·绿盟 NSFOCUS RSAS 极光远程安全评估系统:极光扫描系统新增的WEB安全评估插件,在某客户处见到过扫描报告,不过没用过产品。依照绿盟的一贯风格和绿盟的实力,应该不错。
免费产品
·Nikto:很多地方都在推荐,但游侠本人实在不喜欢命令行产品……各位喜欢的Google或Baidu下吧
·Paros Proxy:基于Java搞的扫描工具,速度也挺快,在淘宝QA团队博客也看到在介绍这个软件。
·WebScarab:传说中很NB的OWASP出的产品,不过我看下载地址的时候貌似更新挺慢
·Sandcat:扫描速度很快,检查的项目也挺多。机子现在就装了这个。
————
·NBSI:应该说是黑客工具更靠谱,国内最早的,可能也是地球上最早的一批SQL注入及后续工作利用工具,当年是黑站挂马必备……
·HDSI:教主所写,支持ASP和PHP注入,功能就不多说了,也是杀人越货必备!
·Domain:批量扫描的必备产品,通过whois扫描服务器上的服务器,在很长一段时间内风靡黑客圈。
————
·Nessus:当然它有商业版,不过我们常用的是免费版。脆弱性评估工具,更擅长于主机、服务器、网络设备扫描。
·NMAP:主要倾向于端口等的评估。
·X-Scan:安全焦点出品,多少年过去了,依然是很强悍的产品。大成天下曾经做过商业版的“游刃”,但最近已经不更新了,很可惜。
其实能做评估的工具还有很多,如:
·Retina Network Security Scanner
·LANguard Network Security Scanner
·榕基RJ-iTop网络隐患扫描系统
不过和Nessus和NMAP一样,主要倾向于主机安全评估,而不是WEB应用安全评估。但我们在WEB安全评估的时候,不可避免的要对服务器做安全扫描,因此也是必然要用的工具。
好了,大体的也说了下,各位感兴趣的可以在网上找下相关资料或下载。看完感觉有点收获的,就转发给您的朋友吧。现在都凌晨了,刚敲完……游侠(www.youxia.org)在此谢过了!
作者:张百川(网路游侠)
网站:https://www.youxia.org
转载请注明来源!谢谢合作。