当前位置：首页 > 编程日记 > 正文

Web漏洞扫描（四：知识点及错误总结）

编程日记 2024-08-22 09:40:00

WVS软件：

WVS(Web Vulnerability Scanner)是一个自动化的Web应用程序安全测试工具，它可以扫描任何可通过Web浏览器访问的和遵循HTTP/HTTPS规则的Web站点和Web应用程序。适用于任何中小型和大型企业的内联网、外延网和面向客户、雇员、厂商和其它人员的Web网站。

工作方式：

它将会扫描整个网站，它通过跟踪站点上的所有链接和robots.txt（如果有的话）而实现扫描。然后WVS就会映射出站点的结构并显示每个文件的细节信息。
在上述的发现阶段或扫描过程之后，WVS就会自动地对所发现的每一个页面发动一系列的漏洞攻击，这实质上是模拟一个黑客的攻击过程。WVS分析每一个页面中可以输入数据的地方，进而尝试所有的输入组合。这是一个自动扫描阶段。
在它发现漏洞之后，WVS就会在“Alerts Node（警告节点）”中报告这些漏洞。每一个警告都包含着漏洞信息和如何修复漏洞的建议。
在一次扫描完成之后，它会将结果保存为文件以备日后分析以及与以前的扫描相比较。使用报告工具，就可以创建一个专业的报告来总结这次扫描。

Burp Suite软件：

Burp Suite 是用于攻击web 应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并能处理对应的HTTP 消息、持久性、认证、代理、日志、警报。

工具箱介绍：

Proxy——是一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
Scanner[仅限专业版]——是一个高级的工具，执行后，它能自动地发现web 应用程序的安全漏洞。
Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
Repeater——是一个靠手动操作来补发单独的HTTP 请求，并分析应用程序响应的工具。
Sequencer——是一个用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
Decoder——是一个进行手动执行或对应用程序数据者智能解码编码的工具。
Comparer——是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”。

排错一：Brup Suite软件代开错误。

排错思路：

查看软件日志；
检索错误提示；
检查开发环境；

原因：主机Java版本较高。

解决方案：

更换Java版本，更换为jdk1.8版本；

排错二：Burp Suite软件的“Actively scan this host”功能无效。

排错思路：

检查软件是否安装合适；
检查开发环境是否配置合适；

原因：Burp Suite软件的使用版本不支持此功能。

解决方案：

激活Kali系统中的BurpSuite软件；

1、下载Burp Suite Pro的安装包和注册机

下载链接：https://pan.baidu.com/s/1TTPVEhYSV25rp4VZ_0Z1AA

提取码：at2k

2、解压下载的burpsuite_pro_v1.7.37.rar压缩包，然后进入解压后的目录burpsuite_pro_v1.7.37使用命令“java -jar burp-loder-keygen.jar”运行keygen,修改license text；

3、运行Keygen，复制license，然后点击run,弹出drup界面;

4、在弹出的durp界面点击“I Accept”，然后将复制的license粘贴到Enter license key,点击next；

5、点击burp界面的“copy request” 粘贴到注册机对应的Activation Request上，然后将Activation Response中的内容粘贴到durp的response中；

https://www.dkcj.cn/info/15359.html

Web漏洞扫描（四：知识点及错误总结）

WVS软件：

Burp Suite软件：

排错一：Brup Suite软件代开错误。

排错二：Burp Suite软件的“Actively scan this host”功能无效。

相关文章：

【VS开发】【智能语音处理】Windows下麦克风语音采集

iOS音频——AudioToolbox

【WA】九度OJ题目1435：迷瘴

云端应用SQL注入攻击

SPOJ375(树链剖分)

简单的python服务器程序

iOS：一句代码实现文本输入的限制

Linux操作系统（一：基本操作）

Core Text 学习笔记-基础

虚拟机下CentOS 6.5配置IP地址的三种方法

GIS 相关知识扫盲

Linux操作系统（二：shell脚本）

用OpenGLES实现yuv420p视频播放界面

C++类的静态成员详细讲解

jenkins2 multibranch

Nagios的安装和基本配置（一：知识点总结及环境准备）

浅谈Android四大组件之Service

使用 fastlane 实现 iOS 持续集成（二）

Nagios的安装和基本配置（二：Nagios-Server的安装）

shell编程-正则表达式

使用 CocoaPods 给微信集成 SDK 打印收发消息

数据库之子查询四（多重，表复制）

Nagios的安装和基本配置（三：Nagios-Client的安装）

事件(待完成)

iOS 模仿支付宝支付到账推送，播报钱数

hdu - 4707 - Pet

Nagios的安装和基本配置（四：调试验证错误总结）

hitTest和pointInside方法

Github上的PHP资源汇总大全

UIButton长按事件