Web漏洞掃描工具課件

第3章Web漏洞掃描工具第3章Web漏洞掃描工具1教學(xué)目標(biāo)了解常見的Web漏洞掃描工具學(xué)會(huì)使用任一種Web漏洞掃描工具發(fā)現(xiàn)漏洞了解掃描報(bào)告的內(nèi)容2教學(xué)目標(biāo)了解常見的Web漏洞掃描工具2

Web滲透測(cè)試流程

Web滲透測(cè)試流程3漏洞掃描器可以快速幫助我們發(fā)現(xiàn)漏洞。例如,SQL注入漏洞、跨站點(diǎn)腳本攻擊XSS。一個(gè)好的漏洞掃描器在滲透測(cè)試中是至關(guān)重要的，可以說是滲透測(cè)試成功或失敗的關(guān)鍵點(diǎn)。本章介紹幾款比較優(yōu)秀的Web應(yīng)用程序漏洞掃描器。

AWVSweb,

Appscan,ZAP等。漏洞掃描器可以快速幫助我們發(fā)現(xiàn)漏洞。例如,SQL注入4AWVSweb掃描器簡(jiǎn)介AWVS（AcunetixWebVulnerabilityScanner）是一個(gè)自動(dòng)化的Web應(yīng)用程序安全測(cè)試工具，它可以掃描任何可通過Web瀏覽器訪問的和遵循HTTP/HTTPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。WVS可以通過檢查SQL注入攻擊漏洞、跨站腳本攻擊漏洞等來審核Web應(yīng)用程序的安全性。AWVSweb掃描器簡(jiǎn)介AWVS（Acunetix5AWVSweb功能介紹WebScanner，核心功能，Web安全漏洞掃描SiteCrawler，爬蟲功能，遍歷站點(diǎn)目錄結(jié)構(gòu)TargetFinder，端口掃描，找出web服務(wù)器，80,443SubdomainScanner，子域名掃描器，利用DNS查詢BlindSQLInjector，盲注工具AWVSweb功能介紹WebScanner，核心功能，Web6AWVSweb掃描器AWVSweb掃描器7椰樹掃描器椰樹WEB漏洞掃描器是一款國產(chǎn)的漏洞掃描器，集成了常見的SQL注入、跨站、后臺(tái)路徑等掃描，并且支持旁站和二級(jí)查詢、CMS安全檢測(cè)、漏洞收錄查詢等，有亮點(diǎn)的是CMS安全檢測(cè)里面包含了常見的CMS漏洞，比如SHOPXP、DEDECMS、SHOPEX等。椰樹掃描器椰樹WEB漏洞掃描器是一款國產(chǎn)的漏洞掃描器，集成了8椰樹掃描器椰樹掃描器9OWASPZedAttackProxy(ZAP)OWASPZedAttackProxy(ZAP)是一個(gè)易于使用的集成滲透測(cè)試工具，用于查找Web應(yīng)用程序中的漏洞。它被設(shè)計(jì)適用于有各種各樣安全經(jīng)驗(yàn)的任何人使用，因此它是開發(fā)和功能測(cè)試人員理想的滲透測(cè)試工具。特點(diǎn)：免費(fèi)、開源、跨平臺(tái)、易用。下載地址：/index.php/ZAP/zaproxy/zaproxy/wiki/DownloadsOWASPZedAttackProxy(ZAP)OW10OWASPZedAttackProxy(ZAP)OWASPZedAttackProxy(ZAP)11漏洞掃描工具功能越多越好嗎?

NO

漏洞掃描工具功能越多越好嗎?

NO

12一個(gè)好的工具，不是功能越多越好。而是某個(gè)功能在現(xiàn)有的工具中是最厲害的，比如sqlmap專注注入。一個(gè)好的工具，不是功能越多越好。而是某個(gè)功能在現(xiàn)有的工具中是13到目前為止，Web應(yīng)用程序漏洞掃描器，已不計(jì)其數(shù)，本章介紹的AWVSweb,ZAP都是位居前10名。后面要使用的BurpSuite位居第一位。對(duì)掃描器而言，最重要的都是幫助滲透測(cè)試人員發(fā)現(xiàn)更多的漏洞，但我們不能完全依賴掃描器，比如，一些較深層次的XSS跨站漏洞、SQL注入漏洞、帶驗(yàn)證碼的程序，掃描器是根本無法發(fā)現(xiàn)漏洞。所以，測(cè)試人員不要過多地依賴掃描器，積累豐富的經(jīng)驗(yàn)才是最重要的。到目前為止，Web應(yīng)用程序漏洞掃描器，已不計(jì)其數(shù)，本章介紹的14第3章Web漏洞掃描工具第3章Web漏洞掃描工具15教學(xué)目標(biāo)了解常見的Web漏洞掃描工具學(xué)會(huì)使用任一種Web漏洞掃描工具發(fā)現(xiàn)漏洞了解掃描報(bào)告的內(nèi)容16教學(xué)目標(biāo)了解常見的Web漏洞掃描工具2

Web滲透測(cè)試流程

Web滲透測(cè)試流程17漏洞掃描器可以快速幫助我們發(fā)現(xiàn)漏洞。例如,SQL注入漏洞、跨站點(diǎn)腳本攻擊XSS。一個(gè)好的漏洞掃描器在滲透測(cè)試中是至關(guān)重要的，可以說是滲透測(cè)試成功或失敗的關(guān)鍵點(diǎn)。本章介紹幾款比較優(yōu)秀的Web應(yīng)用程序漏洞掃描器。

AWVSweb,

Appscan,ZAP等。漏洞掃描器可以快速幫助我們發(fā)現(xiàn)漏洞。例如,SQL注入18AWVSweb掃描器簡(jiǎn)介AWVS（AcunetixWebVulnerabilityScanner）是一個(gè)自動(dòng)化的Web應(yīng)用程序安全測(cè)試工具，它可以掃描任何可通過Web瀏覽器訪問的和遵循HTTP/HTTPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。WVS可以通過檢查SQL注入攻擊漏洞、跨站腳本攻擊漏洞等來審核Web應(yīng)用程序的安全性。AWVSweb掃描器簡(jiǎn)介AWVS（Acunetix19AWVSweb功能介紹WebScanner，核心功能，Web安全漏洞掃描SiteCrawler，爬蟲功能，遍歷站點(diǎn)目錄結(jié)構(gòu)TargetFinder，端口掃描，找出web服務(wù)器，80,443SubdomainScanner，子域名掃描器，利用DNS查詢BlindSQLInjector，盲注工具AWVSweb功能介紹WebScanner，核心功能，Web20AWVSweb掃描器AWVSweb掃描器21椰樹掃描器椰樹WEB漏洞掃描器是一款國產(chǎn)的漏洞掃描器，集成了常見的SQL注入、跨站、后臺(tái)路徑等掃描，并且支持旁站和二級(jí)查詢、CMS安全檢測(cè)、漏洞收錄查詢等，有亮點(diǎn)的是CMS安全檢測(cè)里面包含了常見的CMS漏洞，比如SHOPXP、DEDECMS、SHOPEX等。椰樹掃描器椰樹WEB漏洞掃描器是一款國產(chǎn)的漏洞掃描器，集成了22椰樹掃描器椰樹掃描器23OWASPZedAttackProxy(ZAP)OWASPZedAttackProxy(ZAP)是一個(gè)易于使用的集成滲透測(cè)試工具，用于查找Web應(yīng)用程序中的漏洞。它被設(shè)計(jì)適用于有各種各樣安全經(jīng)驗(yàn)的任何人使用，因此它是開發(fā)和功能測(cè)試人員理想的滲透測(cè)試工具。特點(diǎn)：免費(fèi)、開源、跨平臺(tái)、易用。下載地址：/index.php/ZAP/zaproxy/zaproxy/wiki/DownloadsOWASPZedAttackProxy(ZAP)OW24OWASPZedAttackProxy(ZAP)OWASPZedAttackProxy(ZAP)25漏洞掃描工具功能越多越好嗎?

NO

漏洞掃描工具功能越多越好嗎?

NO

26一個(gè)好的工具，不是功能越多越好。而是某個(gè)功能在現(xiàn)有的工具中是最厲害的，比如sqlmap專注注入。一個(gè)好的工具，不是功能越多越好。而是某個(gè)功能在現(xiàn)有的工具中是27到目前為止，Web應(yīng)用程序漏洞掃描器，已不計(jì)其數(shù)，本章介紹的AWVSweb,ZAP都是位居前10名。后面要使用的BurpSuite位居第一位。