web漏洞掃描-楊文虎

1、網絡安全技術第 2 頁了解常見的web漏洞了解web漏洞掃描器原理了解web漏洞掃描的策略使用常見的web漏洞掃描器網絡安全技術第 3 頁常見的常見的web漏洞漏洞常見的web 漏洞SQL Injection- sql注入File Inclusion- 文件包含漏洞Cross Site Scripting - XSS跨站漏洞網絡安全技術第 4 頁常見的web 漏洞所謂的sql注入，就是通過把sql命令插入到Web表單提交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執(zhí)行惡意的sql命令。具體來說，它是利用現(xiàn)有應用程序將（惡意的）sql命令注入到后臺數(shù)據庫引擎執(zhí)行的能力，它可以通過在Web

2、表單中輸入（惡意）sql語句得到一個存在安全漏洞的網站上的數(shù)據庫，而不是按照設計者意圖去執(zhí)行sql語句。網絡安全技術第 5 頁常見的web 漏洞根據相關技術原理，sql注入可以分為平臺層注入和代碼層注入。前者是由不安全的數(shù)據庫配置或數(shù)據庫平臺的漏洞所致；后者主要是由于程序員對輸入 未進行細致地過濾，從而執(zhí)行了非法的數(shù)據查詢?；诖?，SQL注入的產生原因通常表現(xiàn)在以下幾方面：網絡安全技術第 6 頁程序開發(fā)人員一般會把重復使用的函數(shù)寫到單個文件中，需要使用某個函數(shù)時直接調用此文件， 而無需再次編寫，這中文件調用的過程一般被稱為文件包含。 程序開發(fā)人員一般希望代碼更靈活，所以將被包含的文件設置為變量

3、，用來進行動態(tài)調用， 但正是由于這種靈活性，從而導致客戶端可以調用一個惡意文件，造成文件包含漏洞。 幾乎所有腳本語言都會提供文件包含的功能，但文件包含漏洞在PHP Web Application中居多, 而在JSP、ASP、ASP.NET程序中卻非常少，甚至沒有，這是有些語言設計的弊端。 在PHP中經常出現(xiàn)包含漏洞，但這并不意味這其他語言不存在。常見的web 漏洞網絡安全技術第 7 頁常見的web 漏洞XSS攻擊全稱跨站腳本攻擊，是為不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS，XSS是一種在web應用中的計算機安全漏洞，它允

4、許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。網絡安全技術第 8 頁web漏洞掃描器原理漏洞掃描器原理web 漏洞掃描網絡安全技術第 9 頁Web漏洞掃描通常采用兩種策略，第一種是被動式策略，第二種是主動式策略。所謂被動式策略就是基于主機之上，對系統(tǒng)中不合適的設置、脆弱的口令以及其他與安全規(guī)則抵觸的對象進行檢查;而主動式策略是基于網絡的，它通過執(zhí)行一些腳本文件模擬對系統(tǒng)進行攻擊的行為并記錄系統(tǒng)的反應，從而發(fā)現(xiàn)其中的漏洞。利用被動式策略的掃描稱為系統(tǒng)安全掃描，利用主動式的策略掃描稱為網絡安全掃描。web漏洞掃描的策略漏洞掃描的策略web 漏洞掃描網絡安全技術第 10 頁Web漏洞掃描有

5、以下四種檢測技術： 1.基于應用的檢測技術。它采用被動的、非破壞性的辦法檢查應用軟件包的設置，發(fā)現(xiàn)安全漏洞。 2.基于主機的檢測技術。它采用被動的、非破壞性的辦法對系統(tǒng)進行檢測。通常，它涉及到系統(tǒng)的內核、文件的屬性、操作系統(tǒng)的補丁等。這種技術還包括口令解密、把一些簡單的口令剔除。因此，這種技術可以非常準確地定位系統(tǒng)的問題，發(fā)現(xiàn)系統(tǒng)的漏洞。它的缺點是與平臺相關，升級復雜。 3.基于目標的漏洞檢測技術。它采用被動的、非破壞性的辦法檢查系統(tǒng)屬性和文件屬性，如數(shù)據庫、注冊號等。通過消息文摘算法，對文件的加密數(shù)進行檢驗。這種技術的實現(xiàn)是運行在一個閉環(huán)上，不斷地處理文件、系統(tǒng)目標、系統(tǒng)目標屬性，然后產生檢

6、驗數(shù)，把這些檢驗數(shù)同原來的檢驗數(shù)相比較。一旦發(fā)現(xiàn)改變就通知管理員。 4. 基于網絡的檢測技術。它采用積極的、非破壞性的辦法來檢驗系統(tǒng)是否有可能被攻擊崩潰。它利用了一系列的腳本模擬對系統(tǒng)進行攻擊的行為，然后對結果進行分析。它還針對已知的網絡漏洞進行檢驗。網絡檢測技術常被用來進行穿透實驗和安全審記。這種技術可以發(fā)現(xiàn)一系列平臺的漏洞，也容易安裝。但是，它可能會影響網絡的性能。web漏洞掃描檢測技術漏洞掃描檢測技術web 漏洞掃描網絡安全技術第 11 頁常見的常見的web漏洞掃描器漏洞掃描器web 漏洞掃描器Wvs -Web Vulnerability ScannerAppscan BM Securi

7、ty AppScan網絡安全技術第 12 頁web 漏洞掃描器WVS(Web Vulnerability Scanner)是一個自動化的Web應用程序安全測試工具，它可以掃描任何可通過Web瀏覽器訪問的和遵循HTTP/HTTPS規(guī)則的Web站點和Web應用程序。適用于任何中小型和大型企業(yè)的內聯(lián)網、外延網和面向客戶、雇員、廠商和其它人員的Web網站。網絡安全技術第 13 頁web 漏洞掃描器WVS(Web Vulnerability Scanner )編輯 WVS可以通過檢查SQL注入攻擊漏洞、跨站腳本攻擊漏洞等來審核你的Web應用程序。它可以掃描任何可通過Web瀏覽器訪問的和遵循HTTP/HT

8、TPS規(guī)則的Web站點和Web應用程序。除了自動化地掃描可以利用的漏洞，WVS還提供了分析現(xiàn)有通用產品和客戶定制產品（包括那些依賴于JavaScript的程序即AJAX應用程序）的一個強健的解決方案。網絡安全技術第 14 頁IBM AppScan該產品是一個領先的 Web 應用安全測試工具，曾以 Watchfire AppScan 的名稱享譽業(yè)界。Rational AppScan 可自動化 Web 應用的安全漏洞評估工作，能掃描和檢測所有常見的 Web 應用安全漏洞，例如 SQL 注入（SQL-injection）、跨站點腳本攻擊（cross-site scripting）、緩沖區(qū)溢出（buf

9、fer overflow）及最新的 Flash/Flex 應用及 Web 2.0 應用曝露等方面安全漏洞的掃描。web 漏洞掃描器網絡安全技術第 15 頁AppScan其實是一個產品家族，包括眾多的應用安全掃描產品，從開發(fā)階段的源代碼掃描的AppScan source edition,到針對WEB應用進行快速掃描的AppScan standard edition.以及進行安全管理和匯總整合的AppScan enterprise Edition等，我們經常說的AppScan就是指的桌面版本的AppScan,即AppScan standard edition.其安裝在Windows操作系統(tǒng)上，可以

10、對網站等WEB應用進行自動化的應用安全掃描和測試web 漏洞掃描器網絡安全技術第 16 頁Wvs介紹及使用WVS擁有大量的自動化特性和手動工具，它的工作方式：1.它將會掃描整個網站，它通過跟蹤站點上的所有鏈接和robots.txt（如果有的話）而實現(xiàn)掃描。然后WVS就會映射出站點的結構并顯示每個文件的細節(jié)信息。2.在上述的發(fā)現(xiàn)階段或掃描過程之后，WVS就會自動地對所發(fā)現(xiàn)的每一個頁面發(fā)動一系列的漏洞攻擊，這實質上是模擬一個黑客的攻擊過程。WVS分析每一個頁面中可以輸入數(shù)據的地方，進而嘗試所有的輸入組合。這是一個自動掃描階段。3.在它發(fā)現(xiàn)漏洞之后，WVS就會在“Alerts Node（警告節(jié)點）”中報告這些漏洞。每一個警告都包含著漏洞信息和如何修復漏洞的建議。4.在一次掃描完成之后，它會將結果保存為文件以備日后分析以及與以前的掃描相比較。使用報告工具，就可以創(chuàng)建一個專業(yè)的報告來總結這次掃描。網絡安全技術第 17 頁Wvs介紹及使用網絡安全技術第 18 頁工具分為5大塊。簡要概述我們最相關的3部 1) web