随着互联网的高速发展,越来越多的行业通过互联网为公众提供信息以及…
标签: WEB应用扫描
Netsparker Community Edition新版发布下载
Netsparker是一款WEB脆弱性扫描器,专业版本功能强大,…
游侠原创:国产漏洞扫描,路在何方?
问过很多做风险评估的,用的工具是Nessus的Home版,WEB扫描是用的Crack版。并且几乎如商量好一般,都在用I厂家的Crack,因为只有这个,可以直接导出中文报告……
游侠原创:利用Nessus进行WEB应用安全扫描
在此前的文章中,游侠谈到过 [免费网络和主机漏洞评估程序Nessus 4.2.0安装试用],可能有朋友注意到,Nessus只是扫描主机、网络设备等的漏洞,而对于目前相当流行的Web应用安全漏洞没有涉及,其实Nessus是有此项设置的,不过默认没有打开——理由是会延长扫描时间……游侠感觉还是有必要说一下的。
Nessus可以扫描的Web应用安全项目包括:
·SQL injection
·Cross-Site Scripting (XSS)
·HTTP Header Injection
·Directory Traversal
·Remote File Inclusion
·Command Execution
在Google搜了下,居然没有中文文档,就自己啃e文吧……
游侠原创:WEB应用安全扫描产品概述
网上经常有朋友问游侠(www.youxia.org),有什么好的WEB应用安全扫描产品,这里大体的说下。
国内这类产品不算多,当然国外也不算多,数来数去,就那么几个,画个图看看:
商业产品*国外
·Acunetix Web Vulnerability Scanner 6:简称WVS,还是不错的扫描工具,不知道检查的太细致还是因为慢,总之经常评估一个网站的时候一晚上不关电脑都扫描不万……但是报表做的不错。一般用这个扫描的话,不用等那么久,像区县政府的,扫20分钟就差不多了。
·IBM Rational AppScan:这个是IBM旗下的产品,扫描速度中规中矩,报表功能相当强大,可以按照法规遵从生成不同的报表,如:ISO27001、OWASP等,界面也很商业化。
·HP WebInspect:没错,的确就是卖PC的HP公司旗下的产品,扫描速度比上面的2个都快得多,东西还算不错。不过这几天在和NOSEC(下面说的“诺赛科技”)掐架,愣是说NOSEC的iiScan免费扫描平台侵犯隐私,说NOSEC有国家背景……这市场了解的!
·N-Stealth:没装成功,不过很多地方在推荐这个
·Burp Suite:貌似是《黑客攻防技术宝典·WEB实战篇》作者公司搞的,安全界牛人。虽然工具没用过,但是这本书的确是不错……如果您做WEB安全,游侠强烈建议您读一下。
商业产品*国内
·智恒联盟 WebPecker 网站啄木鸟:程序做的不错,扫描速度很快。
·诺赛科技 Pangolin、Jsky:Pangolin做SQL注入扫描,Jsky全面评估,就是上文说的NOSEC,网上扫描平台是iiScan,后台的牛人是zwell。
·安域领创 WebRavor:记得流光(FluXay)否?是的,WebRavor就是小榕所写!小榕是谁?搜下……不用我介绍了吧?
·安恒 MatriXay 明鉴WEB应用弱点扫描器:还没用过,和NOSEC一样,也有网上扫描平台。
·绿盟 NSFOCUS RSAS 极光远程安全评估系统:极光扫描系统新增的WEB安全评估插件,在某客户处见到过扫描报告,不过没用过产品。依照绿盟的一贯风格和绿盟的实力,应该不错。
免费产品
·Nikto:很多地方都在推荐,但游侠本人实在不喜欢命令行产品……各位喜欢的Google或Baidu下吧
·Paros Proxy:基于Java搞的扫描工具,速度也挺快,在淘宝QA团队博客也看到在介绍这个软件。
·WebScarab:传说中很NB的OWASP出的产品,不过我看下载地址的时候貌似更新挺慢
·Sandcat:扫描速度很快,检查的项目也挺多。机子现在就装了这个。
————
·NBSI:应该说是黑客工具更靠谱,国内最早的,可能也是地球上最早的一批SQL注入及后续工作利用工具,当年是黑站挂马必备……
·HDSI:教主所写,支持ASP和PHP注入,功能就不多说了,也是杀人越货必备!
·Domain:批量扫描的必备产品,通过whois扫描服务器上的服务器,在很长一段时间内风靡黑客圈。
————
·Nessus:当然它有商业版,不过我们常用的是免费版。脆弱性评估工具,更擅长于主机、服务器、网络设备扫描。
·NMAP:主要倾向于端口等的评估。
·X-Scan:安全焦点出品,多少年过去了,依然是很强悍的产品。大成天下曾经做过商业版的“游刃”,但最近已经不更新了,很可惜。
其实能做评估的工具还有很多,如:
·Retina Network Security Scanner
·LANguard Network Security Scanner
·榕基RJ-iTop网络隐患扫描系统
不过和Nessus和NMAP一样,主要倾向于主机安全评估,而不是WEB应用安全评估。但我们在WEB安全评估的时候,不可避免的要对服务器做安全扫描,因此也是必然要用的工具。
好了,大体的也说了下,各位感兴趣的可以在网上找下相关资料或下载。看完感觉有点收获的,就转发给您的朋友吧。现在都凌晨了,刚敲完……游侠(www.youxia.org)在此谢过了!
作者:张百川(网路游侠)
网站:https://www.youxia.org
转载请注明来源!谢谢合作。
绿盟远程安全评估系统Web应用扫描模块全新上市
日前,绿盟科技正式宣布,绿盟远程安全评估系统(原“极光”远程安全评估系统,简称NSFOCUS RSAS)针对Web应用安全检查的需求,隆重推出专业的Web应用扫描模块。
全新的NSFOCUS RSAS产品Web扫描功能,综合应用了很多业内领先的技术,如模拟点击智能爬虫技术、主动挂马检测及核心调度引擎,为用户提供精准的检测结果及最高效的检测效率。可以应用于网站管理员进行Web上线前安全测试、上线后周期性安全评估以及企业安全管理员进行统一的风险监控与管理。
绿盟科技安全专家介绍,相比传统Web扫描器仅局限于提供Web应用层的漏洞扫描,该产品能够为Web应用系统提供最为全面的漏洞检测范围,包含Web应用(SQL注入漏洞、跨站脚本漏洞、CGI漏洞,以及网页挂马等漏洞)、Web 服务及支撑系统(网络层、操作系统层、数据库)等多层次全方位的安全漏洞扫描、审计、渗透测试和辅助逻辑分析。
…