利用Nessus进行WEB应用安全扫描

在此前的文章中，游侠谈到过 [免费网络和主机漏洞评估程序Nessus 4.2.0安装试用]，可能有朋友注意到，Nessus只是扫描主机、网络设备等的漏洞，而对于目前相当流行的Web应用安全漏洞没有涉及，其实Nessus是有此项设置的，不过默认没有打开——理由是会延长扫描时间……游侠感觉还是有必要说一下的。　　

创新互联建站网站建设服务商，为中小企业提供成都网站设计、做网站、成都外贸网站建设公司服务，网站设计，绵阳服务器托管等一站式综合服务型公司，专业打造企业形象网站，让您在众多竞争对手中脱颖而出创新互联建站。

Nessus可以扫描的Web应用安全项目包括：

SQL injection

Cross-Site Scripting (XSS)

HTTP Header Injection

Directory Traversal

Remote File Inclusion

Command Execution

在Google搜了下，居然没有中文文档，就自己啃e文吧……　　

上面说了，Nessus因为扫描Web应用时间太长，所以默认没有开启这个功能，那么我们首先得开启这个功能。涉及到如下三个功能项：

Global variable settings

Web Application Tests Settings

Web mirroring

首先必须设置全局变量，开启Web应用扫描，看图操作：

选择：Enable CGI Scanning，允许CGI扫描　　

选择：Enable experimental scripts，允许实验性脚本。　　

其次设置Web应用测试设置：

Enable web applications tests是要选择的　　

Maximum run time，***运行时间，抄袭Tenable Nessus某文档设置为120 嘿嘿　　

下面的大家自己参照设置。　　

***，需要设置Web mirroring，看图：

说明一个地方，官方文档的说法：　　

The “Excluded items regex” is a powerful method for establishing granular mirroring

exemptions. For example, if you do not want to crawl (or scan) “/manual”

and do not want to test any Perl-based CGI, set this field to:

(^/manual)|(\.pl(\?.*)?$).

Excluded items regex的中文意思是“排除项正则表达式”，你可以通过设置这里不扫描网站的某些目录，如：一般是设置images、template等目录。您可以自己设置。　　

游侠测试了一个网站，发现添加了Web应用安全测试后的扫描速度真的是很慢……当然，如果您用其它的Web安全扫描工具进行扫描也是如此，这不是Nessus的问题。

【编辑推荐】

搜索结果研究人员致力于智能化Web应用程序安全扫描工具
搜索结果网络安全扫描工具Nessus

本文标题：利用Nessus进行WEB应用安全扫描
文章出自：http://www.gawzjz.com/qtweb2/news23/6173.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源：创新互联

猜你还喜欢下面的内容