web漏洞掃描-楊文虎

1、網(wǎng)絡(luò)安全技術(shù)第 2 頁(yè)了解常見的web漏洞了解web漏洞掃描器原理了解web漏洞掃描的策略使用常見的web漏洞掃描器網(wǎng)絡(luò)安全技術(shù)第 3 頁(yè)常見的常見的web漏洞漏洞常見的web 漏洞SQL Injection- sql注入File Inclusion- 文件包含漏洞Cross Site Scripting - XSS跨站漏洞網(wǎng)絡(luò)安全技術(shù)第 4 頁(yè)常見的web 漏洞所謂的sql注入，就是通過(guò)把sql命令插入到Web表單提交或輸入域名或頁(yè)面請(qǐng)求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的sql命令。具體來(lái)說(shuō)，它是利用現(xiàn)有應(yīng)用程序?qū)ⅲ◥阂獾模﹕ql命令注入到后臺(tái)數(shù)據(jù)庫(kù)引擎執(zhí)行的能力，它可以通過(guò)在Web

2、表單中輸入（惡意）sql語(yǔ)句得到一個(gè)存在安全漏洞的網(wǎng)站上的數(shù)據(jù)庫(kù)，而不是按照設(shè)計(jì)者意圖去執(zhí)行sql語(yǔ)句。網(wǎng)絡(luò)安全技術(shù)第 5 頁(yè)常見的web 漏洞根據(jù)相關(guān)技術(shù)原理，sql注入可以分為平臺(tái)層注入和代碼層注入。前者是由不安全的數(shù)據(jù)庫(kù)配置或數(shù)據(jù)庫(kù)平臺(tái)的漏洞所致；后者主要是由于程序員對(duì)輸入 未進(jìn)行細(xì)致地過(guò)濾，從而執(zhí)行了非法的數(shù)據(jù)查詢?；诖?，SQL注入的產(chǎn)生原因通常表現(xiàn)在以下幾方面：網(wǎng)絡(luò)安全技術(shù)第 6 頁(yè)程序開發(fā)人員一般會(huì)把重復(fù)使用的函數(shù)寫到單個(gè)文件中，需要使用某個(gè)函數(shù)時(shí)直接調(diào)用此文件， 而無(wú)需再次編寫，這中文件調(diào)用的過(guò)程一般被稱為文件包含。 程序開發(fā)人員一般希望代碼更靈活，所以將被包含的文件設(shè)置為變量

3、，用來(lái)進(jìn)行動(dòng)態(tài)調(diào)用， 但正是由于這種靈活性，從而導(dǎo)致客戶端可以調(diào)用一個(gè)惡意文件，造成文件包含漏洞。 幾乎所有腳本語(yǔ)言都會(huì)提供文件包含的功能，但文件包含漏洞在PHP Web Application中居多, 而在JSP、ASP、ASP.NET程序中卻非常少，甚至沒有，這是有些語(yǔ)言設(shè)計(jì)的弊端。 在PHP中經(jīng)常出現(xiàn)包含漏洞，但這并不意味這其他語(yǔ)言不存在。常見的web 漏洞網(wǎng)絡(luò)安全技術(shù)第 7 頁(yè)常見的web 漏洞XSS攻擊全稱跨站腳本攻擊，是為不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫為XSS，XSS是一種在web應(yīng)用中的計(jì)算機(jī)安全漏洞，它允

4、許惡意web用戶將代碼植入到提供給其它用戶使用的頁(yè)面中。網(wǎng)絡(luò)安全技術(shù)第 8 頁(yè)web漏洞掃描器原理漏洞掃描器原理web 漏洞掃描網(wǎng)絡(luò)安全技術(shù)第 9 頁(yè)Web漏洞掃描通常采用兩種策略，第一種是被動(dòng)式策略，第二種是主動(dòng)式策略。所謂被動(dòng)式策略就是基于主機(jī)之上，對(duì)系統(tǒng)中不合適的設(shè)置、脆弱的口令以及其他與安全規(guī)則抵觸的對(duì)象進(jìn)行檢查;而主動(dòng)式策略是基于網(wǎng)絡(luò)的，它通過(guò)執(zhí)行一些腳本文件模擬對(duì)系統(tǒng)進(jìn)行攻擊的行為并記錄系統(tǒng)的反應(yīng)，從而發(fā)現(xiàn)其中的漏洞。利用被動(dòng)式策略的掃描稱為系統(tǒng)安全掃描，利用主動(dòng)式的策略掃描稱為網(wǎng)絡(luò)安全掃描。web漏洞掃描的策略漏洞掃描的策略web 漏洞掃描網(wǎng)絡(luò)安全技術(shù)第 10 頁(yè)Web漏洞掃描有

5、以下四種檢測(cè)技術(shù)： 1.基于應(yīng)用的檢測(cè)技術(shù)。它采用被動(dòng)的、非破壞性的辦法檢查應(yīng)用軟件包的設(shè)置，發(fā)現(xiàn)安全漏洞。 2.基于主機(jī)的檢測(cè)技術(shù)。它采用被動(dòng)的、非破壞性的辦法對(duì)系統(tǒng)進(jìn)行檢測(cè)。通常，它涉及到系統(tǒng)的內(nèi)核、文件的屬性、操作系統(tǒng)的補(bǔ)丁等。這種技術(shù)還包括口令解密、把一些簡(jiǎn)單的口令剔除。因此，這種技術(shù)可以非常準(zhǔn)確地定位系統(tǒng)的問(wèn)題，發(fā)現(xiàn)系統(tǒng)的漏洞。它的缺點(diǎn)是與平臺(tái)相關(guān)，升級(jí)復(fù)雜。 3.基于目標(biāo)的漏洞檢測(cè)技術(shù)。它采用被動(dòng)的、非破壞性的辦法檢查系統(tǒng)屬性和文件屬性，如數(shù)據(jù)庫(kù)、注冊(cè)號(hào)等。通過(guò)消息文摘算法，對(duì)文件的加密數(shù)進(jìn)行檢驗(yàn)。這種技術(shù)的實(shí)現(xiàn)是運(yùn)行在一個(gè)閉環(huán)上，不斷地處理文件、系統(tǒng)目標(biāo)、系統(tǒng)目標(biāo)屬性，然后產(chǎn)生檢

6、驗(yàn)數(shù)，把這些檢驗(yàn)數(shù)同原來(lái)的檢驗(yàn)數(shù)相比較。一旦發(fā)現(xiàn)改變就通知管理員。 4. 基于網(wǎng)絡(luò)的檢測(cè)技術(shù)。它采用積極的、非破壞性的辦法來(lái)檢驗(yàn)系統(tǒng)是否有可能被攻擊崩潰。它利用了一系列的腳本模擬對(duì)系統(tǒng)進(jìn)行攻擊的行為，然后對(duì)結(jié)果進(jìn)行分析。它還針對(duì)已知的網(wǎng)絡(luò)漏洞進(jìn)行檢驗(yàn)。網(wǎng)絡(luò)檢測(cè)技術(shù)常被用來(lái)進(jìn)行穿透實(shí)驗(yàn)和安全審記。這種技術(shù)可以發(fā)現(xiàn)一系列平臺(tái)的漏洞，也容易安裝。但是，它可能會(huì)影響網(wǎng)絡(luò)的性能。web漏洞掃描檢測(cè)技術(shù)漏洞掃描檢測(cè)技術(shù)web 漏洞掃描網(wǎng)絡(luò)安全技術(shù)第 11 頁(yè)常見的常見的web漏洞掃描器漏洞掃描器web 漏洞掃描器Wvs -Web Vulnerability ScannerAppscan BM Securi

7、ty AppScan網(wǎng)絡(luò)安全技術(shù)第 12 頁(yè)web 漏洞掃描器WVS(Web Vulnerability Scanner)是一個(gè)自動(dòng)化的Web應(yīng)用程序安全測(cè)試工具，它可以掃描任何可通過(guò)Web瀏覽器訪問(wèn)的和遵循HTTP/HTTPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。適用于任何中小型和大型企業(yè)的內(nèi)聯(lián)網(wǎng)、外延網(wǎng)和面向客戶、雇員、廠商和其它人員的Web網(wǎng)站。網(wǎng)絡(luò)安全技術(shù)第 13 頁(yè)web 漏洞掃描器WVS(Web Vulnerability Scanner )編輯 WVS可以通過(guò)檢查SQL注入攻擊漏洞、跨站腳本攻擊漏洞等來(lái)審核你的Web應(yīng)用程序。它可以掃描任何可通過(guò)Web瀏覽器訪問(wèn)的和遵循HTTP/HT

8、TPS規(guī)則的Web站點(diǎn)和Web應(yīng)用程序。除了自動(dòng)化地掃描可以利用的漏洞，WVS還提供了分析現(xiàn)有通用產(chǎn)品和客戶定制產(chǎn)品（包括那些依賴于JavaScript的程序即AJAX應(yīng)用程序）的一個(gè)強(qiáng)健的解決方案。網(wǎng)絡(luò)安全技術(shù)第 14 頁(yè)IBM AppScan該產(chǎn)品是一個(gè)領(lǐng)先的 Web 應(yīng)用安全測(cè)試工具，曾以 Watchfire AppScan 的名稱享譽(yù)業(yè)界。Rational AppScan 可自動(dòng)化 Web 應(yīng)用的安全漏洞評(píng)估工作，能掃描和檢測(cè)所有常見的 Web 應(yīng)用安全漏洞，例如 SQL 注入（SQL-injection）、跨站點(diǎn)腳本攻擊（cross-site scripting）、緩沖區(qū)溢出（buf

9、fer overflow）及最新的 Flash/Flex 應(yīng)用及 Web 2.0 應(yīng)用曝露等方面安全漏洞的掃描。web 漏洞掃描器網(wǎng)絡(luò)安全技術(shù)第 15 頁(yè)AppScan其實(shí)是一個(gè)產(chǎn)品家族，包括眾多的應(yīng)用安全掃描產(chǎn)品，從開發(fā)階段的源代碼掃描的AppScan source edition,到針對(duì)WEB應(yīng)用進(jìn)行快速掃描的AppScan standard edition.以及進(jìn)行安全管理和匯總整合的AppScan enterprise Edition等，我們經(jīng)常說(shuō)的AppScan就是指的桌面版本的AppScan,即AppScan standard edition.其安裝在Windows操作系統(tǒng)上，可以

10、對(duì)網(wǎng)站等WEB應(yīng)用進(jìn)行自動(dòng)化的應(yīng)用安全掃描和測(cè)試web 漏洞掃描器網(wǎng)絡(luò)安全技術(shù)第 16 頁(yè)Wvs介紹及使用WVS擁有大量的自動(dòng)化特性和手動(dòng)工具，它的工作方式：1.它將會(huì)掃描整個(gè)網(wǎng)站，它通過(guò)跟蹤站點(diǎn)上的所有鏈接和robots.txt（如果有的話）而實(shí)現(xiàn)掃描。然后WVS就會(huì)映射出站點(diǎn)的結(jié)構(gòu)并顯示每個(gè)文件的細(xì)節(jié)信息。2.在上述的發(fā)現(xiàn)階段或掃描過(guò)程之后，WVS就會(huì)自動(dòng)地對(duì)所發(fā)現(xiàn)的每一個(gè)頁(yè)面發(fā)動(dòng)一系列的漏洞攻擊，這實(shí)質(zhì)上是模擬一個(gè)黑客的攻擊過(guò)程。WVS分析每一個(gè)頁(yè)面中可以輸入數(shù)據(jù)的地方，進(jìn)而嘗試所有的輸入組合。這是一個(gè)自動(dòng)掃描階段。3.在它發(fā)現(xiàn)漏洞之后，WVS就會(huì)在“Alerts Node（警告節(jié)點(diǎn)）”中報(bào)告這些漏洞。每一個(gè)警告都包含著漏洞信息和如何修復(fù)漏洞的建議。4.在一次掃描完成之后，它會(huì)將結(jié)果保存為文件以備日后分析以及與以前的掃描相比較。使用報(bào)告工具，就可以創(chuàng)建一個(gè)專業(yè)的報(bào)告來(lái)總結(jié)這次掃描。網(wǎng)絡(luò)安全技術(shù)第 17 頁(yè)Wvs介紹及使用網(wǎng)絡(luò)安全技術(shù)第 18 頁(yè)工具分為5大塊。簡(jiǎn)要概述我們最相關(guān)的3部 1) web