客服QQ:872490018 服务时间:9:00-21:00
i春秋学院
培育信息时代的安全感

当前位置:首页 > 安全 > 技术 > 正文

喝最烈的酒、挖最大的DONG——工具与技巧篇
作者:
2017年10月19日 17:22:28
866 次阅读
来源: 爱尖刀

本文作者:i春秋签约作家——黑色镰刀

0×00 前言

在这个科技发达的时代,很多时候工具都可以代替人做很多事情,之前我就有谈起过有企业将人工智能运用于网络安全方面,像如今,也有更多更人性化更智能的工具不断出现,从之前的啊D撸全站到今天的sqlmap花式玩,我们的tools也在不断变化。说回主题,针对Web的scan system现在大家也都是知道的,比如AWVS、Nessus等,包括国内的很多企业级扫描器,今天呢我将阐述扫描器的事。(文末会给出扫描器的下载地址)

0×01 概述

现在洞洞扫描技术呢主要还是获取信息然后模拟攻击,前些日子出现了一个叫虚拟执行的技术,不过因为此技术并不了解所以不做解析,但是仅靠介绍与一些简单的技术资料来看,我并不看好他的漏洞挖掘能力,但是对于bug测试能力可能会很好,我们先来谈谈原理吧。

0×02 洞洞扫描原理

刚才有说到信息获取与模拟攻击,我们先说信息获取,这个我想大家应该知道nmap就是完成这一任务的不错之选,在通过与目标主机TCP/IP不同端口发送连接请求,记录目标主机的应答。以此来获取主机信息,比如操作系统类型和版本、端口开放信息、运行服务的种种信息等等,现在很多新手都会忽略nmap的日志,包括sqlmap等工具一样,很多新人在使用包括一些教学资料都不会去读日志,但是个人认为日志虽然简单,或者说全英文懒得看,但是很多东西在日志里都能显示出来。

模拟攻击呢当然就是进行攻击性的扫描洞洞,模拟heike的攻击,这个其实就是比谁灵活,比谁洞库强了,对已知漏洞进行尝试性攻击,因此对于洞洞扫描,无非就是比速度,比漏洞库,比灵活性。哦,当然还有价格。现在又有很多都是B\S架构的扫描。

0×03 漏洞扫描器的实现 介绍
一款扫描器由很多模块组成,我们来想想一个扫描器需要什么,首先优良的用户界面,一个配置模块比不可少,然后是爬虫模块,漏洞检测模块最后文字输出模块,当然还需要整理一篇好的漏洞报告,而这些则是一个漏洞扫描器的主要组成
说实话到这里我已经不知道该说什么了,如果列代码没什么用,说过程无非也就是那样,所以我打算干脆介绍一下这些扫描器
  Nikto
    Nikto是一款开放源代码的、功能强大的WEB扫描评估软件,能对web服务器多种安全项目进行测试的扫描软件,能在230多种服务器上扫描出 2600多种有潜在危险的文件、CGI及其他问题,它可以扫描指定主机的WEB类型、主机名、特定目录、COOKIE、特定CGI漏洞、返回主机允许的 http模式等等。它也使用LibWhiske库,但通常比Whisker更新的更为频繁。Nikto是网管安全人员必备的WEB审计工具之一。

说实话自打2.1.5起他就再也没更新过,但他的确是开源的哈,他目前仅可以发现6700个潜在危险的文件/程序,检查超过1250个服务器的过时版本,以及超过270个服务器上的特定于版本的问题,因此很明显他out了,但是还是值得一提的。


AWVS(AcunetixWebVulnerabilityScanner)
    Acunetix Web Vulnerability Scanner(简称AWVS)是一款知名的网络漏洞扫描工具,它通过网络爬虫测试你的网站安全,检测流行安全漏洞,现已更新到11.

社会我A哥,人很话不多。
作为一款企业级漏洞扫描工具,AWVS的强大你我心领神会。

  Zed Attack Proxy

    Zed Attack Proxy是一款网站应用程序漏洞扫描工具,它是专为有多年安全经验的人员来设计的,当然对于开发人员和功能性测试人员,Zed Attack Proxy也是不二之选。

个人并不喜欢这款扫描器,但是他作为开源工具,而且跨平台,收到了很多人的支持,易于安装、完全免费

在众多志愿者的参加与开发下,可以看到zap也是非常全面且成熟的了

0×04 下载链接

Nikto2:https://cirt.net/Nikto2
AWVS:https://www.acunetix.com/vulnerability-scanner/download/
Nessus:http://www.tenable.com/products/ … ur-operating-system
burp suite:https://portswigger.net/burp/
ZAP 2.6.0:https://github.com/zaproxy/zaproxy/wiki/Downloads


[广告]赞助链接:

舆情监测,互联网舆情首选查舆情:http://www.chayuqing.com/
四季很好,只要有你,文娱排行榜:http://www.yaopaiming.com/

  • 网络尖刀
    公众号:mcbang_com
    数据、技术、运营
  • 知安
    公众号:knowsafe
    黑客、技术、安全
  • 查舆情
    公众号:chayuqing_com
    舆情、文娱、品牌

Copyright © 2013 IjianDao.Com,All Rights Reserved

网络尖刀 版权所有 京ICP备14006288号-3