教材-WebInspect使用手冊

［教材］--Weblnspect使用手冊Webinspect簡介及使用一(Webinspect簡介主要功能介紹:,利用創(chuàng)新的評估技術(shù)檢查Web服務(wù)及Web應(yīng)用程序的安全,自動執(zhí)行Web應(yīng)用程序安全測試和評估,在整個生命周期中執(zhí)行應(yīng)用程序安全測試和協(xié)作,通過最先進(jìn)的用戶界面輕松運行交互式掃描,利用高級工具(HPSecurityToolkit)執(zhí)行滲透測試,配置以支持任何Web應(yīng)用程序環(huán)境概述:在發(fā)現(xiàn)成熟Web技術(shù)中的漏洞方面，傳統(tǒng)應(yīng)用程序掃描程序表現(xiàn)得也很好，但是它們在掃描更新的Web2.0技術(shù)時常常缺乏足夠的智能性。目前，許多復(fù)雜的Web應(yīng)用程序全都基于新興的Web2.0技術(shù)，HPWebinspect可以對這些應(yīng)用程序執(zhí)行Web應(yīng)用程序安全測試和評估。HPWebInspect可提供快速掃描功能、廣泛的安全評估范圍及準(zhǔn)確的Web應(yīng)用程序安全掃描結(jié)果。它可以識別很多傳統(tǒng)掃描程序檢測不到的安全漏洞。利用創(chuàng)新的評估技術(shù)，例如同步掃描和審核(simultaneouscrawlandaudit,SCA)及并發(fā)應(yīng)用程序掃描，您可以快速而準(zhǔn)確地自動執(zhí)行Web應(yīng)用程序安全測試和Web服務(wù)安全測試。Webinspect是最準(zhǔn)確和全面的自動化的Web應(yīng)用程序和Web服務(wù)漏洞評估解決方案。使用Webinspect,安全專業(yè)人員和規(guī)范審計人員可以在自己的環(huán)境中快速而輕松地分析眾多的Web應(yīng)用和Web服務(wù)。Webinspect是唯一的一款由世界領(lǐng)先的Web安全專家每日維護(hù)和更新的產(chǎn)品。這些解決方案專門為評估潛在的安全漏洞而設(shè)計，并提供所有修復(fù)這些漏洞所需要的資訊。WebInspect帶來了最新的評估技術(shù)，能夠適應(yīng)任何企業(yè)環(huán)境的Web應(yīng)用安全產(chǎn)品。當(dāng)您開始進(jìn)行漏洞評估時，WebInspect的“評估代理”（assessmentagent）能夠?qū)eb應(yīng)用的所有區(qū)域進(jìn)行分析。當(dāng)這些代理（agent）完成評估后，所有的發(fā)現(xiàn)結(jié)果都自動匯總給一個核心的安全引擎，進(jìn)行結(jié)果分析。之后，WebInspect啟動審計引擎，評估所收集的信息，并運用攻擊算法查找漏洞，并確定其嚴(yán)重程度。通過上述的途徑，WebInspect能夠持續(xù)地使用適當(dāng)?shù)脑u估資源，以適應(yīng)您的具體應(yīng)用環(huán)境。二（Webinspect使用方法掃描一個Web站點.在WebInspect軟件的home選項卡，單擊“StartaWebSiteAssessment”。（開始一個web站點評價）.在StartURL框中，輸入或選擇你想檢查站點的完整URL或IP地址。.如果您需要包括其他服務(wù)器，請單擊“Allowedhosts”來訪問允許主機設(shè)置。.選擇“Profiletheservertooptimizescansettings”（配置服務(wù)器來優(yōu)化掃描設(shè)置）來對一個網(wǎng)站進(jìn)行初步審查，以確定是否需要修改WebInspect軟件的設(shè)置。.如果您選擇"Restricttofolder"（限制文件夾），您可以將評估范圍限定到你從下拉列表選擇的區(qū)域中去。.WebInspect軟件，默認(rèn)情況下，將掃描結(jié)果保存在一個以你在“StartURL”框中輸入的URL或IP地址來命名的文件中。假如想使用不同的名稱，請修改“ScanDescription”（掃描描述）。.在“AssessmentMethod"（評價方法）組，選擇“Automated”（自動化）。.展開“ScanOptions”（掃描選項）面板，然后選擇一個自動方法：a.Crawlandaudit（Simultaneously）（抓取和審計（同時））：由于Weblnspect軟件繪制了網(wǎng)站的層次數(shù)據(jù)結(jié)構(gòu)，它審計每個資源（網(wǎng)頁），因為它是被發(fā)現(xiàn)的（而不是抓取了整個網(wǎng)站之后，再進(jìn)行一次審計）。對于非常大的網(wǎng)站，此選項是最有用的，因為在這邊抓取可能還沒全部完成，內(nèi)容可能已經(jīng)改變了。備注:也就是說抓取的同時，同步進(jìn)行審計（檢查）b.Crawlandaudit（Sequentially）（抓取和審計（按順序））:在這種模式下，Weblnspect軟件抓取整個網(wǎng)站，測繪網(wǎng)站的層次結(jié)構(gòu)數(shù)據(jù)，然后從網(wǎng)站的根目錄開始，按順序進(jìn)行審計。備注:也就是說抓取全部完成后，再進(jìn)行審計（檢查）c（CrawlOnly（僅檢索）：此選項完全繪制了網(wǎng)站的樹狀結(jié)構(gòu)。當(dāng)抓取完成之后，你可以（手動）點擊“Audit”（審計）來評定一個應(yīng)用程序的漏洞。d（RecordedMacro-CrawlwithAudit（記錄的宏-抓取和審計）：Weblnspect軟件只審計那些記錄在宏下面的和在審計時遭遇到的不遵循任何超鏈接格式的網(wǎng)址。e.AuditOnly（只有審計）：Weblnspect軟件使用通過選擇的策略來確定弱點風(fēng)險的一套方法，但不抓取這個網(wǎng)站。該網(wǎng)站上沒有鏈接被密切注意或者審計。9（如果您選擇的是Web窗體值提示，那么，當(dāng)遇到一個HTTP或JavaScript形式，Weblnspect軟件會掃描暫停，并顯示一個窗口，這個窗口允許您輸入值以便在這個窗體內(nèi)進(jìn)行內(nèi)部控制。.假如您選擇y“Usemacroforentry”（使用宏來進(jìn)入），Weblnspect軟件重放您指定的宏，當(dāng)宏被記錄時，訪問每個被訪問過的URL地址。然后開始抓?。ù藭r審計可選可不選）宏里面的最后一個session,跟蹤遇到的任何鏈接。所有在最后URL地址之前的sessions不被抓取和審計。假如你選擇了“RecordedMacro-CrawlwithAudit”（第8項的d），則此選項不可用。.單擊“Next”以進(jìn)到掃描向?qū)У南乱徊?，或者單擊“Finished”（啟動掃描）。.選擇一個策略，然后單擊“Next"（下一步）。13.如果服務(wù)器需要身份驗證，請選擇“Assessmentrequiresnetwork，然后選擇一個驗證方法并在身份驗authentication"（評估需要網(wǎng)絡(luò)身份驗證）證憑證區(qū)域輸入用戶名和密碼。.如果您想使用宏來進(jìn)行Web窗體驗證，那么就選擇“Usealoginmacroforformsauthentication”（使用登錄宏來進(jìn)行表單驗證），然后單擊省略號按鈕來找到具體宏。.選擇“Useastartupmacro”（使用啟動宏），假如你想在使用開始URL開始掃描之前，先檢查該應(yīng)用的一個特別部分。16.選擇“auto-fillWebformsduringcrawl”（在抓取時自動填充Web表單），如果你想Weblnspect軟件在掃描目標(biāo)站點時，當(dāng)它遇到各種形式時，該軟件能夠提交值去進(jìn)行控制。WebInspect軟件將從您使用Web窗體編輯器創(chuàng)建的那個文件中提取值。.單擊“Next”（下一步）.如果目標(biāo)應(yīng)用是在代理服務(wù)器之后，請選擇下列之一:A（使用InternetExplorer代理設(shè)置（即Weblnspect軟件應(yīng)該使用的地址和端口，是您通過選擇因特網(wǎng)選項指定的，具體步驟如下:MicrosoftIntern