简介： Nikto是一款开放源代码的、功能强大的WEB扫描评估软件，能对web服务器多种安全项目进行测试的扫描软件，能在230多种服务器上扫描出 2600多种有潜在危险的文件、CGI及其他问题，它可以扫描指定主机的WEB类型、主机名、特定目录、COOKIE、特定...
1. Nikto 以下是引用片段： 这是一个开源的Web 服务器扫描程序，它可以对Web 服务器的多种项目(包括3500个潜在的危险 文件/CGI，以及超过900 个服务器版本，还有250 多个服务器上的版本特定问题)进行全面的测 试。其扫描项目和插件经...
w3af是一个Web应用程序攻击和检查框架.该项目已超过130个插件,其中包括检查网站爬虫,SQL注入(SQL Injection),跨站(XSS),本地文件包含(LFI),远程文件包含(RFI)等.该项目的目标是要建立一个框架,以寻找和开发Web应用安全漏洞,所以很容易使用和扩展. 0...
问题 [Simplified Chinese] 使用IBM Rational AppScan Standard版本对Web程序进行扫描时，如何对发生的通信问题进行分析？ 症状 现象 1 在扫描过程中扫描日志（选择菜单[查看] > [扫描日志]或者从Rational AppScan Standard安装路径下的...
最新做的一个项目，被测试组猛烈攻击，暴露了不少问题。其中一个问题印象深刻！ 测试使用了WebInspect这个扫描工具，扫描了整个网站，包括后台。结果我们的数据库里被灌入大量的垃圾数据，并修改了原有的数据。总之，惨不忍睹！ 后来，我们发现我...
从 AppScan Source V8.8 开始，不再支持以下操作系统： Microsoft Windows XP Microsoft Windows Server 2003，所有版本和修订版 此外： Visual Studio 2005 项目文件不再受支持，而且 AppScan Source for Development（Visual Studio 插件...
之前有IBM Rational Appscan使用详细说明的一篇文章，主要是针对扫描过程中配置设置等.本文将介绍针对扫描结果的分析,也是一次完整的渗透测试必须经历的环节. 扫描开始的时候,Appscan会询问是否保存扫描结果,同时下方有进度条显示扫描的进度. 在...
1、漏洞总数 AppScan Source：91 Fortify：121 2、Disclaimer.htm:34(Cross-Site Scripting:DOM)的漏洞Fortify能扫描出来，AppScan Source扫描不出来 另外，Fortify能扫描出比较多Persistent类型的XSS漏洞 并且归类比较好（分DOM、Pers...
Web 应用的基础概念 在讨论 Web 应用安全之前，先简单介绍一下 Web 应用基础概念，这样便于理解为什么 Web 应用是脆弱的，容易受到攻击。 1、 什么是 Web 应用 Web 应用是由动态脚本、编译过的代码等组合而成。它通常架设在 Web 服务器上，用...
一、AppScan安装时出现错误1603。 是因为之前安装过，没有卸载干净导致报错。解决方法如下： 1、控制面板→程序和功能→选中程序卸载。 2、删除AppScan安装路径以及下面的所有内容。 3、在系统[开始]->[运行(R)...]中，运行命令regedit...
HP Webinspect是著名的扫描工具，这里讲一下怎么使用它扫wap的url。 通俗的讲，Wap是手机网页浏览器使用的网页，web是电脑网页浏览器使用的网页。（讲得不专业，但方便理解） 在手机上显示的网页不一定能在电脑上正常显示，有些web服务器会对浏览...
skipfish是Google的工程师MIchal Zalewski开发的另一款网站安全检测工具，它完全实现了全自动化操作，所以不需要人工干预，这一点上比RatProxy要好用一些，当然在功能上也强大更多了。 可以从http://code.google.com/p/skipfish/下载它。 安装Cy...
一：简介 skipfish是什么？ Skipfish是一个积极的Web应用程序的安全性侦察工具。 它准备了一个互动为目标的网站的站点地图进行一个递归爬网和基于字典的探头。 然后，将得到的地图是带注释的与许多活性（但希望非破坏性的）安全检查的输出。 最终...
1.会话标识未更新：登录页面加入以下代码 request.getSession(true).invalidate();//清空session Cookie cookie = request.getCookies()[0];//获取cookie cookie.setMaxAge(0);//让cookie过期 request.getSession(true).invalidate();//清...
这里主要分享如何使用AppScan对一大项目的部分功能进行安全扫描。 ------------------------------------------------------------------------ 其实，对于安全方面的测试知道的甚少。因为那公司每个月要求对产品进行安全扫描。掌握了一人点使用...
大型网站扫描到后边会出现扫不动，大型网站扫描时间过长等情况。但如果要在短时间内扫描完某个大型网站，这样就可以进行分割扫描，把一个大型站点分割为多个较小的再进行扫描分割。 有两种分割扫描的方法：（都可以较短时间内得到扫描结果，并且报告...
Glass Box 是 IBM Security AppScan Standard Edition（以下简称 AppScan）8.5 版本以后引进的一个新的组件，是对 AppScan 的一个比较大的改进。Glass Box 引进了运行时分析的技术，通过部署在服务器端的代理，在探索和测试阶段搜集 Web 应用程序信息，...
Wapiti 是一套 OpenSource 的站点漏洞检测工具，比较特殊的是，它并不依赖特征数据库，也因此扫描的速度相当快，而探测的则是一些共通性问题，或是作者所宣称的未知漏洞。Wapiti 其实是一只 Python Script，可在多数平台运行，在网页开发过程中，用这套...
跨站脚本简称XSS(cross sites script)，是web安全里比较重要也比较普遍的一种安全漏洞。跨站脚本是指输入恶意的代码，如果程序没有对输入输出进行验证，则浏览器将会被攻击者控制。可以得到用户cookie、系统、浏览器信息，保存型xss还可以进行钓鱼，以...
多数人知道SQL注入，也知道SQL参数化查询可以防止SQL注入，可为什么能防止注入却并不是很多人都知道的。 首先：我们要了解SQL收到一个指令后所做的事情： 在这里，简单的表示为： 收到指令 -> 编译SQL生成执行计划 ->选择执行计划 ->执...
