web應(yīng)用弱點(diǎn)掃描器

1、明鑒“web應(yīng)用弱點(diǎn)掃描器一一最佳web應(yīng)用安全評(píng)估工具產(chǎn)品概述明鑒&web應(yīng)用弱點(diǎn)掃描器（簡(jiǎn)稱：matrixay 5.0）是安恒安全專家團(tuán)隊(duì)在深入分析研究b/s 架構(gòu)應(yīng)用系統(tǒng)屮典型安全漏洞以及流行攻擊技術(shù)基礎(chǔ)上研制而成，該產(chǎn)品1.0版本于2006 年8月世界安全大會(huì)blackhat和def-con上首次發(fā)布,2.0版本于2007年12月 發(fā)布，并在08 奧運(yùn)會(huì)web安全保障中發(fā)揮了重要的作用。2009年3.6版本成功入選工信部安全中心web 應(yīng)用安全檢查工具。與市場(chǎng)上同類產(chǎn)品的不同之處在于：不僅具有精確的“取證式掃描功能, 還提供了強(qiáng)人的安全審計(jì)、滲透測(cè)試功能，課報(bào)率和漏報(bào)率等各項(xiàng)關(guān)

2、鍵指標(biāo)均達(dá)到國(guó)際領(lǐng)先 水平，因此，被評(píng)價(jià)為"最佳的web安全評(píng)佔(zhàn)工具。matrixay 5.0（2011版）旨在降低web應(yīng)用的風(fēng)險(xiǎn)，使國(guó)家利益、社會(huì)利益、企業(yè)利益乃至個(gè) 人利益的受損風(fēng)險(xiǎn)降低，廣泛適用于“等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)、公安、運(yùn)營(yíng)商、金融、電力能源、 政府、教育等各領(lǐng)域內(nèi)的互聯(lián)網(wǎng)應(yīng)用、門戶網(wǎng)站及內(nèi)部核心業(yè)務(wù)系統(tǒng)（如網(wǎng)銀、網(wǎng)上營(yíng)業(yè) 廳、oss系統(tǒng)、erp系統(tǒng)、0a系統(tǒng)等）。作為公安部等級(jí)保護(hù)測(cè)評(píng)中心專用應(yīng)用安全測(cè)評(píng)工具，工信部安全中心web應(yīng)用安全檢查 工具，matrixay 5.0 （2011 jfe）全面支持0wasp top 10檢測(cè)，可以幫助用戶充分了解web應(yīng) 用存在的安

3、全隱患，建立安全可靠的web應(yīng)用服務(wù)，改善并提升應(yīng)用系統(tǒng)抗各類web應(yīng)用 攻擊的能力（如：注入攻擊、跨站腳本、釣魚(yú)攻擊、信息泄漏、惡意編碼、表單繞過(guò)、緩沖 區(qū)溢出等），協(xié)助用戶滿足等級(jí)保護(hù)、pci、內(nèi)控審計(jì)等規(guī)范要求。主要功能o 深度掃描：以web漏洞風(fēng)險(xiǎn)為導(dǎo)向，通過(guò)対web應(yīng)用（包括web2.0、 javascript. flash等）進(jìn)行深度遍歷，以安全風(fēng)險(xiǎn)管理為基礎(chǔ)，支持各類web 應(yīng)用程序的掃描。o web漏洞檢測(cè)：提供冇豐富的策略包，針對(duì)各種web應(yīng)用系統(tǒng)以及各種典 型的應(yīng)用漏洞進(jìn)行檢測(cè)（如sql注入、cookie注入、xpath注入、ldap注入、 跨站腳本、代碼注入、表單繞過(guò)、弱

4、口令、敏感文件和目錄、管理后臺(tái)、敏 感數(shù)據(jù)等）。o網(wǎng)頁(yè)木馬檢測(cè)：對(duì)各種掛馬方式的網(wǎng)頁(yè)木馬進(jìn)行全自動(dòng)、高性能、智能化分 析，并對(duì)網(wǎng)頁(yè)木馬傳播的病壽類型做出準(zhǔn)確剖析和網(wǎng)頁(yè)木馬宿主做出精確定 位。o配置審計(jì)：通過(guò)當(dāng)前弱點(diǎn)獲収數(shù)據(jù)庫(kù)的相關(guān)敏感信息，対后臺(tái)數(shù)據(jù)庫(kù)進(jìn)行配 置審計(jì)，如弱口令、弱配置等。o滲透測(cè)試：通過(guò)當(dāng)前弱點(diǎn)，模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊手段，對(duì)目 標(biāo)web應(yīng)用的安全性做出深入分析，并實(shí)施無(wú)害攻擊，取得系統(tǒng)安全威脅 的直接證據(jù)。圖1產(chǎn)品界面產(chǎn)品特點(diǎn)o全面、深度、準(zhǔn)確評(píng)估web應(yīng)用弱點(diǎn)，有助于提高主動(dòng)防御能力支持的web應(yīng)用類型 全面支持web 2.0,支持各類javascript腳木解析

5、全面支持flash解析 支持wap類及wmlscript腳本類應(yīng)用系統(tǒng)支持基于https應(yīng)用系統(tǒng)的檢測(cè)首家支持國(guó)內(nèi)、國(guó)外知名web應(yīng)川程序漏洞掃描支持所有類型的動(dòng)態(tài)頁(yè)面 支持http 1.0和1.1標(biāo)準(zhǔn)的web應(yīng)用系統(tǒng)支持各類認(rèn)證方式支持基于支持包括basic. digest、ntlm在內(nèi)的認(rèn)證方式 支持http和socks代理，并支持各種代理的認(rèn)證方式支持的數(shù)據(jù)庫(kù)類型oracle、mssql、db2 informix、sybase、mysqk postgresql> access> ingres 等支持的弱點(diǎn)類型（包含0wasp top 10： al注入攻擊、a2跨站腳本（xss

6、）、a3失效的認(rèn)證 和會(huì)話管理：、a牛不安全的直接對(duì)象引用、a5-跨站請(qǐng)求偽造、a6安全配置錯(cuò)誤、a7-限制 url訪問(wèn)失敗、a&尚未認(rèn)證的重定向和轉(zhuǎn)發(fā)、a9-不安全的密碼儲(chǔ)藏、a20-傳輸層保護(hù)不足） sql注入 xss跨站腳木偽造跨站點(diǎn)請(qǐng)求網(wǎng)頁(yè)木馬隱藏字段表單繞過(guò) ajax注入弱配置敏感信息泄漏 hi-jack 攻擊 弱口令 xpath注入 ldap注入框架注入操作系統(tǒng)命令注入 flash源代碼泄漏 flash跨域攻擊 cookies 注入敏感文件第三方軟件其他各類cgi漏洞o靈活可定義的掃描工作模式支持普通掃描模式、命令掃描模式支持邊爬行邊檢測(cè)、先爬行后檢測(cè)、只爬行網(wǎng)站鏈接、只檢

7、測(cè)現(xiàn)有url等多種掃描方式掃描方式：簡(jiǎn)單模式（單個(gè)域名）、批量模式（多個(gè)域名）掃描范圍：當(dāng)前url、當(dāng)前了域名、當(dāng)前域名、任何url支持無(wú)人值守模式下的全自動(dòng)掃描工作方式：主動(dòng)掃描、被動(dòng)掃描（proxy）掃描深度：支持無(wú)限掃描深度掃描過(guò)程對(duì)以隨時(shí)中斷/恢復(fù)，掃描結(jié)果實(shí)時(shí)存儲(chǔ)支持多任務(wù)、多線程、多引擎并行掃描支持打描例外設(shè)置支持掃描項(xiàng)目文件加密管理支持配置文件導(dǎo)入和導(dǎo)出o深度智能掃描引擎全而支持ssl口動(dòng)過(guò)濾重復(fù)頁(yè)面自動(dòng)檢測(cè)所有參數(shù)支持網(wǎng)頁(yè)人小寫(xiě)敏感/不敏感支持所需網(wǎng)頁(yè)檢測(cè)類型設(shè)置支持驗(yàn)證碼錄制功能o獨(dú)有的“取證模式確保評(píng)估結(jié)果準(zhǔn)確町信o直觀豐富的統(tǒng)計(jì)報(bào)表o完善的結(jié)果趨勢(shì)分析o完備豐富的風(fēng)險(xiǎn)評(píng)估

8、報(bào)告，支持各類格式輸岀，并可自定義內(nèi)容o提供橫縱向的掃描結(jié)果對(duì)比o安裝運(yùn)行無(wú)需笫三方軟件支持常見(jiàn)web應(yīng)用攻擊影響分析攻擊影響漏洞類型sql注入漏洞數(shù)據(jù)庫(kù)信息竊取、篡改、刪除cookie注入數(shù)據(jù)庫(kù)信息竊取、篡改、刪除，控制服務(wù)器跨站腳木漏洞1用八證書(shū)、網(wǎng)站信息、用戶信息被盜緩沖區(qū)溢出1攻陷和控制服務(wù)器表單繞過(guò)漏洞攻擊者訪問(wèn)禁止訪問(wèn)的口錄文件上傳漏洞n主頁(yè)篡改、數(shù)據(jù)損壞和傳播木馬文件包含n服務(wù)器信息竊取、攻陷和控制服務(wù)器網(wǎng)頁(yè)木馬n直接控制網(wǎng)站主機(jī)或者借此攻擊訪問(wèn)者客戶端matrixay 5.0（2011版）現(xiàn)有的客戶涵謊等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)、公安、運(yùn)營(yíng)商、金融、電力能源、 政府、教育等各個(gè)領(lǐng)域，眾多

9、世界500強(qiáng)企業(yè)（如：中國(guó)移動(dòng)、國(guó)家電網(wǎng)、中國(guó)電信、南方 電網(wǎng)、中國(guó)聯(lián)通、oracle、hp等）都使用matrixay提升企業(yè)內(nèi)部和外部應(yīng)用的整體安全性。掃任web訪間旋協(xié)分組：危再録別策sgfl柝：自定義第一步：戲51掃18任務(wù)w第二步：優(yōu)氏掃捉送険樂(lè)或?yàn)椴怀柏鷦?wù)設(shè)去不酬送頃web認(rèn)證 we«n 軻擾過(guò)港webzowebff 掃u squ1acookie sql 注入3 xpathjia j ldaps圭入 將制注 mix n僅系側(cè)令注入 絆本木馬黑犖絨過(guò)也第注入（肋于csrhfc擊）注入上步下一步圖2任務(wù)設(shè)置35分e-mail地址數(shù)據(jù)庫(kù)錯(cuò)誤文件備份表單隱藏域- 敏感的html信息

10、 內(nèi)網(wǎng)ip網(wǎng)站管理后臺(tái)地址-一鏈接注入一框架注入跨站腳本朗站路徑泄漏phpinfo" /測(cè)試文件web應(yīng)用程序錯(cuò)誤20202010raft圖3掃描結(jié)果圖 行業(yè)應(yīng)用案例運(yùn)營(yíng)商某省移動(dòng)客戶面臨的安全問(wèn)題o網(wǎng)絡(luò)技術(shù)tl趨成熟，黑客們的注意力從以往對(duì)網(wǎng)絡(luò)服務(wù)器的攻擊逐步轉(zhuǎn)移到 了對(duì)web應(yīng)用的攻擊；o 所有的業(yè)務(wù)系統(tǒng)（如：營(yíng)業(yè)系統(tǒng)、cboss系統(tǒng)、bboss系統(tǒng)等等）均采用b/s 的架構(gòu)，致使企業(yè)所而臨的風(fēng)險(xiǎn)在不斷增加；o web應(yīng)用系統(tǒng)是否存在程序漏洞，往往是被入侵后才能察覺(jué)，如何在攻擊發(fā) 動(dòng)之前主動(dòng)發(fā)現(xiàn)web應(yīng)用程序漏洞？安恒解決方案主動(dòng)防御從技術(shù)和管理兩個(gè)層而為某省移動(dòng)應(yīng)用安全保駕護(hù)航；o利用安恒web應(yīng)用弱點(diǎn)掃描器建設(shè)web應(yīng)用安全掃描平臺(tái)；o將web應(yīng)用弱點(diǎn)掃描、風(fēng)險(xiǎn)評(píng)估納入tl常工作