Menu

Acunetix Web Vulnerability Scanner (WVS) Narzędzie do testowania zabezpieczeń (przegląd praktyczny)

  • Główny
  • Opinie
  • Acunetix Web Vulnerability Scanner (WVS) Narzędzie do testowania zabezpieczeń (przegląd praktyczny)

acunetix web vulnerability scanner security testing tool

Wypróbuj Nasz Instrument Do Eliminowania Problemów

Aplikacje internetowe i strony internetowe to obecnie podstawowe elementy każdej firmy. Wraz ze wzrostem liczby witryn hakerzy są również bardziej aktywni w hakowaniu witryn internetowych i kradzieży ważnych danych biznesowych.

W związku z tym zagrożeniem staje się ważne, aby skanowanie luk w zabezpieczeniach witryny było częścią programu pełny cykl testowy .

Dzisiaj przyjrzymy się plikowi narzędzie do audytu bezpieczeństwa aplikacji internetowych i stron internetowych - Acunetix Web Vulnerability Scanner (WVS). Acunetix WVS to narzędzie z wyboru Testowanie wtrysku SQL , Skrypty między witrynami (XSS) i OWASP top 10 innych luk w zabezpieczeniach.

Recenzja Acunetix WVS

Czego się nauczysz:

Praktyczny przegląd narzędzia Acunetix Web Vulnerability Scanner

Acunetix WVS to zautomatyzowane testowanie bezpieczeństwa aplikacji internetowych, stworzone w celu zwalczania wzrostu liczby ataków w warstwie aplikacji internetowych. Acunetix WVS przeprowadza audyt bezpieczeństwa witryny internetowej, przeprowadzając serię ataków na tę witrynę. Następnie dostarcza zwięzłe raporty dotyczące wszelkich znalezionych luk w zabezpieczeniach, a nawet sugeruje, jak je naprawić.

W tym samouczku wezmę na spin Acunetix WVS i wyjaśnię niektóre z jego unikalnych funkcji.

Wykonywanie skanowania luk w zabezpieczeniach online

Przed rozpoczęciem skanowania potrzebowałem podatnej witryny do przetestowania. Acunetix utrzymuje własne witryny testowe, które można skanować w celu przetestowania produktu.

  • http://testhtml5.vulnweb.com
  • http://testphp.vulnweb.com
  • http://testaspnet.vulnweb.com
  • http://testasp.vulnweb.com

Rozpoczęcie nowego skanowania jest tak proste, jak uruchomienie Kreator skanowania klikając Nowy skan na głównym pasku narzędzi. Kreator przeprowadzi Cię przez niektóre opcje, których możesz użyć do dostosowania skanowania.

Recenzja Acunetix WVS 1

Najpierw musimy powiedzieć Acunetix Web Vulnerability Scanner, jaką witrynę chcemy przeskanować. W tym przypadku będę trzymać się powyższej witryny testowej PHP (tj. Http://testphp.vulnweb.com).

(Uwaga: Kliknij dowolny obraz, aby wyświetlić powiększenie)

Recenzja Acunetix WVS 2

Następnie musimy wybrać plik Profil skanowania . Profil skanowania to logiczna grupa testów, które wykonują określoną grupę testów. Ta funkcja umożliwia dostosowanie testów, które chcesz lub nie chcesz, aby Acunetix WVS był uruchamiany. Możesz wybierać spośród kilku wbudowanych profili skanowania lub tworzyć niestandardowe profile skanowania, które odpowiadają Twoim specyficznym wymaganiom.

Plik Domyślna Profil skanowania obejmuje wszystkie testy, jakie może uruchomić Acunetix Web Vulnerability Scanner. Załóżmy jednak, że obawiam się tylko alertów o wysokim ryzyku. Mogę dostosować skanowanie do jedynego testu pod kątem tych luk.

Recenzja Acunetix WVS 3

Profile skanowania to nie jedyny sposób na dostosowanie skanowania - Ustawienia skanowania pozwala bardzo ziarnisty kontrolę nad skanowaniem. Większość użytkowników nie będzie musiała modyfikować tych ustawień, ponieważ ustawienia domyślne zostały starannie dobrane, aby obsługiwały większość witryn i aplikacji internetowych. Ponieważ jednak łączę się z Internetem za pomocą serwera proxy HTTP, skonfiguruję to tutaj, klikając przycisk Dostosuj obok pola listy Ustawienia skanowania.

Recenzja Acunetix WVS 4

Jeśli ich potrzebujesz, Acunetix WVS ma również zaawansowane opcje, z których możesz skorzystać, jeśli potrzebujesz jeszcze większej kontroli nad stronami, które chcesz (lub nie chcesz) indeksować i skanować.

Możesz wybrać strony, które chcesz wykluczyć ze skanowania za pomocą Po indeksowaniu pozwól mi wybrać pliki do skanowania opcja, a nawet importować wyniki z innych narzędzi, takich jak BurpSuite firmy Portswigger i Fiddler firmy Telerik, i oczywiście wbudowany Sniffer HTTP firmy Acunetix WVS.

Recenzja Acunetix WVS 5

Będąc skanerem czarnej skrzynki, Acunetix WVS może skanować dowolną witrynę internetową lub aplikację internetową, niezależnie od technologii lub języków programowania, których używa - zasadniczo testuje witrynę internetową lub aplikację internetową bez wcześniejszej wiedzy o tym, jak działa ta witryna, tak jak prawdziwa napastnik by to zrobił.

Optymalizacja skanowania:

najlepsze darmowe oprogramowanie do tworzenia kopii zapasowych dla systemu Windows 10 2017

Mimo to Acunetix Web Vulnerability Scanner ma w zanadrzu kilka inteligentnych sztuczek, aby zoptymalizować skanowanie pod kątem określonej technologii. Acunetix WVS spróbuje pobrać odciski palców aplikacji internetowej w celu wykrycia technologii, z których korzysta, aby skrócić czas skanowania. Na przykład. Jeśli testuję witrynę zbudowaną w języku PHP, nie ma powodu, aby szukać luk, które mogą istnieć tylko w aplikacjach ASP.NET.

Recenzja Acunetix WVS 6

Jak skanować obszary witryny chronione hasłem

Ponieważ ta witryna ma stronę logowania, musimy utworzyć plik Sekwencja logowania w celu poinstruowania skanera, jak zalogować się do aplikacji. Jest to istotna część procesu skanowania i zwykle jest to trudne lub żmudne ustawienie w przypadku innych skanerów.

Możesz spróbować zalogować się do skanera (zadziała to w przypadku większości prostych witryn przy użyciu tylko nazwy użytkownika i hasła) lub możesz ręcznie utworzyć sekwencję logowania (działa lepiej w przypadku bardziej złożonych logowań i zapewnia znacznie większą kontrolę) .

Recenzja Acunetix WVS 7

Acunetix Web Vulnerability Scanner sprawia, że ​​tworzenie sekwencji logowania jest śmiertelnie łatwe, wystarczy przejść przez normalny proces logowania, aby zalogować się na konto; zauważysz, że Twoje działania są rejestrowane. Skaner powtórzy te działania, aby zalogować się podczas skanowania.

Recenzja Acunetix WVS 8

Możesz także użyć przycisku powtórki w lewym dolnym rogu Rejestrator sekwencji logowania okno, aby powtórzyć swoje działania, aby upewnić się, że wszystko działa poprawnie.

Po kliknięciu Kolejny masz możliwość wybrania linków, na które nie chcesz, aby skaner klikał po zalogowaniu. Oczywiście nie chcemy, aby skaner wylogowywał się z sesji podczas indeksowania lub skanowania, więc będę klikać the Wyloguj link, aby je ograniczyć, możesz jednak ustawić dowolną liczbę ograniczeń.

Warto również zauważyć, że rejestrator sekwencji logowania obsługuje również ograniczanie linków z nonce (jednorazowe tokeny w linkach) za pomocą symboli wieloznacznych.

Recenzja Acunetix WVS 9

Gdy skończysz ograniczać linki, kliknij Kolejny . Sama sekwencja logowania nie wystarczy. Skaner musi wiedzieć, kiedy jest zalogowany, a kiedy wylogowany. Rejestrator sekwencji logowania wymaga tak zwanego pliku Wzorzec sesji .

Wzorzec sesji to nic innego jak coś unikalnego między stanem zalogowania i wylogowania aplikacji internetowej. Rejestrator sekwencji logowania automatycznie wykryje ten wzorzec; możesz jednak dostosować ten wzór, jeśli chcesz.

Recenzja Acunetix WVS 10

Klikanie koniec poprosi Cię o zapisanie właśnie utworzonej sekwencji logowania. Można to wykorzystać w późniejszym terminie, więc nie trzeba przechodzić przez proces tworzenia sekwencji logowania za każdym razem, gdy chcesz przeskanować tę samą witrynę.

jakie są różne rodzaje testów

Następnie zostanie wyświetlony ostatni ekran Kreatora skanowania, który umożliwia zapisanie dowolnych ustawionych ustawień skanowania. Ponadto Acunetix WVS jest wystarczająco inteligentny, aby zidentyfikować, czy witryna zapewnia inną odpowiedź na ciąg mobilnego agenta użytkownika, i zapyta Cię, czy chcesz zmienić ciąg agenta użytkownika na iPhone'a lub urządzenie z systemem Android - przydatne, jeśli Twoja witryna jest dostosowana do urządzeń mobilnych.

Wyniki skanowania luk w zabezpieczeniach witryny:

Po zakończeniu przeszukiwania i skanowania Acunetix WVS wyświetli listę luk o dużym znaczeniu, które wykrył w witrynie testowej.

W momencie kliknięcia określonej luki (w tym przypadku SQL Injection), Acunetix WVS ujawnia nie tylko, który parametr wejściowy jest podatny, ale także wyświetla listę wariantów ataku na ten parametr.

Wynik skanowania Acunetix WVS

Wybranie jednej z odmian luki w zabezpieczeniach wyjaśnia szczegółowo tę lukę. Skaner najpierw przedstawi podsumowanie luki, a następnie wyjaśni, jaki jest wpływ takiej luki i jak ją naprawić.

Jeśli zainstalowałeś Acunetix AcuSensor (jest to opcjonalne), składnik po stronie serwera dla aplikacji PHP i .NET, które komunikują się z Acunetix WVS, wyniki dla luk w zabezpieczeniach, takich jak SQL Injection, będą zawierały nawet plik i podatny na atak wiersz kodu!

Acunetix WVS SQL Injection

Alert dostarczy wówczas dalszych informacji zawierających dłuższe wyjaśnienie problemu, a także więcej szczegółów dotyczących sposobu naprawienia luki wraz z listą adresów URL odniesienia, pod którymi można poczytać więcej na ten temat, na wypadek gdyby skaner znalazłem coś, czego nie znasz.

Ponowne uruchomienie testów po usunięciu luki

Ponowne uruchomienie skanowania od samego początku jest oczywiście jednym ze sposobów sprawdzenia, czy naprawa wykrytej luki zakończyła się powodzeniem. Jednak Acunetix WVS ma bardzo przydatne Przetestuj ponownie funkcja.

Po prostu kliknij prawym przyciskiem myszy alert, który chcesz ponownie przetestować, i wybierz Przetestuj ponownie alerty . Testy, które wykryły tę lukę, zostaną ponownie uruchomione i zostanie wyświetlony nowy wynik. Jeśli luka zostanie usunięta, Acunetix oznaczy ją szarą przekreśloną czcionką.

Ponowne testowanie Acunetix WVS

Raportowanie skanowania luk w zabezpieczeniach sieci Web

Tutaj możesz zapisać wyniki skanowania lub wygenerować różne łatwe do zrozumienia raporty. Możesz generować raporty, klikając Reporter na głównym pasku narzędzi.

Recenzja Acunetix WVS 15

Po załadowaniu narzędzia Acunetix Web Vulnerability Scanner Reporter, pojawia się lista raportów do wyboru. Jeśli szukasz raportów wysokiego poziomu, rozszerzenie Elementy, których dotyczy problem , Streszczenie dla kierownictwa , i Szybki raport dostarczać różnorodne zwięzłe raporty do wyboru.

Recenzja Acunetix WVS 16

Jeśli z drugiej strony szukasz raportów zgodności, reporter Acunetix może generować raporty dostosowane do wybranego przez Ciebie standardu zgodności, czy to OWASP Top 10, PCI, HIPPA lub dowolnego innego dostępnego Raportu zgodności. Raporty te są okresowo aktualizowane, aby zawsze były zgodne z najnowszą wersją standardu zgodności.

Typy raportów Acunetix

Najbardziej szczegółowy raport to Raport dewelopera . Ten raport jest również wysoce konfigurowalny, dzięki czemu użytkownik może zawrzeć w raporcie tylko niezbędne informacje.

Kreator raportów pojedynczego skanowania Acunetix

Klikanie Generować utworzy raport, który możesz zapisać w formacie PDF, HTML i innych formatach, aby udostępnić współpracownikom i innym zainteresowanym stronom.

Strona podsumowania:

Strona podsumowania raportu Acunetix

Podsumowanie alertów:

Podsumowanie alertów

błąd c ++ undefined odwołanie do

Szczegóły alertu:

Szczegóły alertu

Zakres technologii

Omówiliśmy już, że Acunetix to skaner czarnej skrzynki , dlatego tak długo, jak witryna jest dostępna przez HTTP lub HTTPS, można ją przeskanować, jednak skaner jest bardzo „inteligentny”, jeśli chodzi o wyłapywanie luk, które są endemiczne dla niektórych frameworków i technologii - z PHP, NET Ruby on Rails i kilka popularnych frameworków Java, aż po systemy CMS, takie jak WordPress i jego wtyczki. Acunetix WVS może zidentyfikować i przeprowadzić audyt witryny na podstawie stosu technologii, na którym działa witryna.

DeepScan Engine do obsługi Ajax i JavaScript

Oprócz tego Acunetix Web Vulnerability Scanner w pełni obsługuje HTML5 i może wykrywać XSS oparty na DOM z bardzo dużą dokładnością. Dzieje się tak dzięki nowatorskiemu silnikowi DeepScan, w pełni działającej bezgłowej przeglądarce ściśle zintegrowanej z robotem, która zapewnia Acunetix WVS pełne zrozumienie tego, co dzieje się na stronie, a także możliwość wykonywania i interakcji z coraz popularniejszym JavaScriptem. i aplikacje wymagające dużej mocy AJAX, które zaczynają pojawiać się w całej sieci.

Aby jeszcze bardziej ułatwić programistom aplikacji internetowych śledzenie luk w zabezpieczeniach XSS opartych na DOM, Acunetix WVS zapewni także użytkownikowi śledzenie stosu, w jaki sposób ładunek XSS przepływał przez Document Object Model (DOM) przeglądarki.

Acunetix WVS DeepScan Engine

AcuSensor do dokładnego i kompleksowego skanowania

Jak już widzieliśmy, AcuSensor jest składnikiem opcjonalnym (dołączonym do Acunetix WVS), który jest instalowany po stronie serwera i jest dostępny zarówno dla aplikacji PHP, jak i .NET. Zastosowanie AcuSensor zapewnia tzw. Interaktywne testowanie bezpieczeństwa aplikacji (IAST).

Instalacja zarówno dla PHP, jak i .NET jest bardzo prosta, aw przypadku .NET nie ma potrzeby ponownej kompilacji bibliotek DLL - możesz po prostu wstrzykiwać i jeden wstrzyknięcie AcuSensor z prekompilowanych bibliotek .NET DLL.

Większość skanerów czarnych skrzynek aplikacji internetowych (w tym Acunetix WVS bez AcuSensor) nie widzi, jak zachowuje się kod podczas jego wykonywania. Z drugiej strony narzędzia do analizy kodu źródłowego nie zawsze mogą zrozumieć, co się dzieje, gdy kod jest wykonywany.

Acunetix AcuSensor łączy obie metodologie testowania, dzięki czemu może zapewnić dokładniejsze i bardziej kompleksowe skanowanie. Ponieważ czujnik ma wiedzę o systemie zaplecza, może również znaleźć luki w trudno dostępnych miejscach za pomocą typowego skanera czarnej skrzynki. Na przykład luki w zabezpieczeniach typu SQL injection są zwykle wykrywane w wyniku wycieku informacji w wyniku błędów bazy danych lub przez ślepy techniki iniekcji. AcuSensor może znaleźć luki w zabezpieczeniach typu SQL Injection w każdym zapytaniu SQL; w tym instrukcje INSERT.

Jak już widzieliśmy, Acunetix AcuSensor może wskazać podatny na ataki wiersz kodu, a nawet zgłosić dodatkowe informacje debugowania. To znacznie zwiększa wydajność zespołu programistów w rozwiązywaniu krytycznych błędów bezpieczeństwa.

AcuMonitor

AcuMonitor to ustaw i zapomnij technologia będąca częścią Acunetix WVS. Służy jako usługa pośrednicząca, która działa w tle i umożliwia skanerowi wykrycie drugie zamówienie luki w zabezpieczeniach.

Testowanie podatności drugiego rzędu uwzględnia podatności, które nie zapewniają odpowiedzi skanerowi podczas testowania. Takie luki obejmują Blind XSS (określane również jako Delayed XSS), XML External Entity Injection (XXE), Server Side Request Forgery (SSRF), Host Header Attacks, Email Header Injection, Password Reset Poisoning, Blind Out-of-Band SQL Injection i ślepe wykonanie kodu poza pasmem; z których wszystkie można automatycznie wykryć za pomocą AcuMonitor.

Aby wykryć luki drugiego rzędu, musi istnieć pośrednik, który skaner kontroluje lub do którego ma dostęp. Acunetix WVS w połączeniu z AcuMonitor sprawia, że ​​automatyczne wykrywanie takich luk jest bezbolesne i niewidoczne dla użytkownika uruchamiającego skanowanie.

Pobieranie skanera luk w zabezpieczeniach sieci Web Acunetix:

Acunetix jest dostępny online lub lokalnie. Acunetix oferuje 14-dniową wersję próbną Acunetix WVS , a także oferują wersję online skanera o nazwie Acunetix OVS , którą możesz również wypróbować przez 14 dni. Jedynym prawdziwym sposobem na uporanie się z jakimkolwiek produktem jest wypróbowanie go samemu.

Uwagi końcowe

Oprócz wszystkich powyższych, Acunetix Web Vulnerability Scanner jest również dostarczany z szeregiem zintegrowanych narzędzi do ręcznego testowania penetracji. Narzędzia te umożliwiają audytorom uruchamianie automatycznych skanów i ręczną weryfikację wyników bez konieczności zmiany narzędzi.

Acunetix WVS oferuje zarówno specjalistom ds. Bezpieczeństwa, jak i inżynierom oprogramowania szereg oszałamiających funkcji w łatwym, prostym i bardzo solidnym pakiecie. Oczywiście ta recenzja może obejmować tylko tyle i chociaż ten samouczek ma na celu przedstawienie szerokiego przeglądu produktu, istnieje kilka innych przydatnych funkcji, które nie zostały uwzględnione.

Czy używałeś Acunetix lub inny internetowy skaner luk? Daj nam znać swoje doświadczenia lub pytania w komentarzach poniżej.

rekomendowane lektury

^