02Web應(yīng)用漏洞掃描工具介紹

Web掃描工具介紹王朋濤深信服北京安全團(tuán)隊(duì)Web應(yīng)用漏洞掃描器簡介IBMAppScanWVSBurpScannerW3AF總結(jié)培訓(xùn)提綱Web應(yīng)用漏洞掃描器簡介什么是Web應(yīng)用漏洞掃描器？專門針對Web應(yīng)用的漏洞掃描器——Web漏掃；用處：網(wǎng)站管理員在網(wǎng)站上線之前對網(wǎng)站進(jìn)行安全性自檢，提前發(fā)現(xiàn)安全漏洞并修復(fù)，避免安全隱患。Web應(yīng)用漏洞掃描器簡介常見的Web應(yīng)用漏洞掃描器：IBMAppScan；WVS；BurpSuite——BurpScanner；W3AF；Nikto;WebInspect;WebScarab;…………Web應(yīng)用漏洞掃描器簡介IBMAppScan簡介IBM?SecurityAppScan的?是一款領(lǐng)先的應(yīng)用安全性測試套件，旨在整個(gè)軟件開發(fā)生命周期中管理漏洞測試。IBMSecurityAppScan自動(dòng)進(jìn)行漏洞評估、掃描和檢測所有常見的Web應(yīng)用程序漏洞，包括SQL注入，跨站腳本，緩沖區(qū)溢出和Flash/Flex應(yīng)用程序和Web2.0的漏洞掃描。IBMAppScan操作新建完全掃描IBMAppScan操作提示需要配置掃描IBMAppScan操作配置起始URLIBMAppScan操作掃描結(jié)果IBMAppScan操作認(rèn)證設(shè)置IBMAppScan操作測試策略配置IBMAppScan操作根據(jù)漏洞嚴(yán)重性分類的測試策略IBMAppScan操作部分中等程度危險(xiǎn)的漏洞測試項(xiàng)目IBMAppScan操作最終掃描結(jié)果IBMAppScanWVS簡介WVS(WebVulnerabilityScanner)是一個(gè)自動(dòng)化的Web應(yīng)用程序安全測試工具，它可以掃描任何可通過Web瀏覽器訪問的和遵循HTTP/HTTPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。適用于任何中小型和大型企業(yè)的內(nèi)聯(lián)網(wǎng)、外延網(wǎng)和面向客戶、雇員、廠商和其它人員的Web網(wǎng)站。WVS操作初始界面WVS操作設(shè)置掃描URLWVS操作設(shè)置掃描策略WVS操作Target檢測WVS操作認(rèn)證設(shè)置WVS操作認(rèn)證設(shè)置WVS操作認(rèn)證設(shè)置WVS操作認(rèn)證設(shè)置WVS操作認(rèn)證設(shè)置WVS操作認(rèn)證設(shè)置WVS操作認(rèn)證設(shè)置WVS操作掃描設(shè)置WVS操作正在掃描WVS操作查看漏洞詳情WVS操作查看漏洞詳情WVSBurpScanner簡介BurpSuite是一個(gè)Web應(yīng)用程序集成攻擊平臺(tái)，它包含了一系列Burp工具，這些工具之間有大量接口可以互相通信，這樣設(shè)計(jì)的目的是為了促進(jìn)和提高整個(gè)攻擊的效率。平臺(tái)中所有工具共享同一robust框架，以便統(tǒng)一處理HTTP請求，持久性，認(rèn)證，上游代理，日志記錄，報(bào)警和可擴(kuò)展性。BurpSuite允許攻擊者結(jié)合手工和自動(dòng)技術(shù)去枚舉、分析、攻擊Web應(yīng)用程序。這些不同的Burp工具通過協(xié)同工作，有效的分享信息，支持以某種工具中的信息為基礎(chǔ)供另一種工具使用的方式發(fā)起攻擊;BurpScanner

即BurpSuite套裝中的漏洞掃描套件。BurpScanner操作代理設(shè)置BurpScanner操作代理設(shè)置BurpScanner操作BurpProxy會(huì)監(jiān)聽Firefox中的所有HTTP請求BurpScanner操作BurpProxy會(huì)監(jiān)聽Firefox中的所有HTTP請求BurpScanner操作用BurpSpider爬取網(wǎng)站結(jié)構(gòu)BurpScanner操作啟動(dòng)BurpScannerBurpScanner操作BurpScanner設(shè)置BurpScanner操作BurpScanner設(shè)置BurpScanner操作掃描隊(duì)列BurpScanner操作掃描結(jié)果BurpScannerW3AF簡介W3AF（WebApplicationAttackandAuditFramework）是一個(gè)Web應(yīng)用程序攻擊和審計(jì)框架。它的目標(biāo)是創(chuàng)建一個(gè)易于使用和擴(kuò)展、能夠發(fā)現(xiàn)和利用Web應(yīng)用程序漏洞的主體框架。W3AF的核心代碼和插件完全由Python編寫。項(xiàng)目已有超過130個(gè)的插件，這些插件可以檢測SQL注入、跨站腳本、本地和遠(yuǎn)程文件包含等常見Web應(yīng)用漏洞。W3AF有GUI和命令行兩種操作模式W3AF操作掃描配置BurpScanner操作認(rèn)證配置BurpScanner操作HTML