web扫描器
- 本章节的内容，在我们内部有个别称：涉案金额100多万。
- 主要是由于软件官方并未提供正常的演示场景，为此需要提醒学习课程的同学：
学习是为了让自己变得更为优秀，而不是成为可耻的小偷，日后的工作中请尊重版权
一 appscan
1.1 appscan简介
- Appscan是web应用程序渗透测试舞台上使用最广泛的工具之一.它是一个桌面应用程序，它有助于专业安全人员进行Web应用程序自动化脆弱性评估。Appscan的主要特点: Appscan 其中大部分将在我下面的概要中涵盖：
Flash支持： 8.0 Appscan相对早期的版本增加了flash支持功能，它可以探索和测试基于Adobe的Flex框架的应用程序，也支持AMF协议。 Glass box testing:：安装一个代理服务器,这有助于发现隐藏的URL和其它的问题。 Web服务扫描：Web服务扫描是Appscan中具有有效自动化支持的一个扫描功能。 Java脚本安全分析：Appscan中介绍了JavaScript安全性分析,分析抓取html页面漏洞，并允许用户专注于不同的客户端问题和DOM（文档对象模型）为基础的XSS问题。 报告：根据你的要求，可以生成所需格式的报告。 修复支持：对于确定的漏洞,程序提供了相关的漏洞描述和修复方案. 可定制的扫描策略：Appscan配备一套自定义的扫描策略,你可以定制适合你需要的扫描策略。 工具支持：它有像认证测试，令牌分析器和HTTP请求编辑器等,方便手动测试漏洞. Ajax和Dojo框架的支持。
- 算了，上面的文字看不看都行，一句话就能概括了：IBM的软件，但是现在貌似卖给了印度人。
1.2 appscan的安装
- 要运行Appscan的系统至少需要2GB的RAM,同时确保安装了.net framwork和Adobe flash来执行扫描过程中的Flash内容。在进一步之前，需要注意的是,这种自动扫描器会发送数据到服务器,有可能在扫描过程中让服务器超过负荷，所 以它可能会删除服务器上的数据，添加新记录甚至让服务器崩溃.因此扫描之前最好备份所有的数据.
- 安装Appscan之前，关闭所有打开的应用程序。点击安装文件，会出现安装向导,如果你还没有安装.Net framwork，Appscan安装过程会自动安装，并需要重新启动。按照向导的指示，可以很容易的完成安装.如果你使用的是默认许可，你将只允许扫描 appscan中的测试网站。要扫描自己的网站，需要付费购买许可版本.
1.3 appscan的使用
二 awvs
2.1 awvs简介
- Acunetix Web Vulnerability Scanner（简称AWVS）是一款知名的网络漏洞扫描工具，它通过网络爬虫测试你的网站安全，检测流行安全漏洞。WVS可以检查SQL注入漏洞，也可以检查跨站脚本攻击漏洞，可以扫描任何可以通过web浏览访问和遵循HTTP/HTTPS规则的web站点和web应用程序。
- awvs拥有大量的自动化特性和手动工具，总体而言，它以下面的方式工作：
1.它将会扫描整个网站，它通过跟踪站点上的所有链接和robots.txt 实现扫描。然后WVS就会映射出站点的结构并显示每个文件的细节. 2.在上述的发现阶段或扫描过程之后，WVS就会自动地对所发现的每一个页面发动一系列的漏洞攻击， 这实质上是横拟黑客的攻击过程，这是一个自动扫描阶段。 3.在它发现漏洞之后，WVS就会在"Alerts Node (警告节点）"中报告这些漏洞. 每一个报告都包含着漏洞信息和如何修复漏洞的建议. 4. 再扫一次,它会将结果保存为文件以备曰后分析以及与以前的扫描相比较，使用报告工具，就可以创建一个专业的报告来总结这次扫描.
2.2 awvs安装
2.3 awvs的使用
三 appspider
3.1 appspdier的简介
- 介绍不介绍的也没啥用了，raipd7的产品，他们公司等我有钱了一定买下来…
3.2 appspider安装
3.3 appspider的使用
四 xray
4.1 xray的简介
4.2 xray的安装及使用
五 总结
- web类扫描器的工作机制在于发送一个http的测试包，然后分析返回包的内容中是否存在特征值。
- 为此扫描器在对于有指纹的漏洞类型，可以很好的简化我们这些猴子的工作量。
- 但请注意：如果未来当你工作时，有人向你声称xxx扫描器能够能够通杀所有漏洞，记得请他喝瓶可乐。他当初应该被某些培训机构割韭菜了…
- 而在扫描器建立任务的阶段，我们需要关注的以下的一些信息：
1.登录相关的配置及机制 2.待测试站点的基本情况 3.检测的漏洞类型 4.注意侵入式的payload可能对网站造成的伤害 5.测试手机端哪些工具更为适用
- 在最重要的报告查看阶段，重点关注的是发送包与返回包的判定。
- 而最后需要注意的一点是：
- 无论你多么的喜爱这块工具，任何的工具都可能产生误报，为此请记住，是你在使用工具，而不是工具使用你。
