网站漏洞检测软件的设计与应用
【摘要】 本文主要研究一种网站漏洞检测软件可以对网站的各种危险漏洞进行全面的扫描、检测和分析从而帮助网站管理员有的放矢地对网站漏洞进行修补。
【关键词】 网站漏洞扫描检测
1 引言
随着社会信息化程度不断提高 网络及其信息系统面临的安全威胁日益突出。 10年前黑客入侵主要是对计算机端口的入侵而现在则通过Web进行入侵。当黑客得到Webshell时就可以进一步“提权”获取服务器控制权从而为所欲为地进行各种破坏活动 带来难以预料的损失。本文主要研究并实现了一款网站漏洞检测软件。针对各种不同脚本的网站漏洞进行分析并进行漏洞扫描和检测 同时协助网站管理员及时掌握自身网站漏洞信息有的放矢地进行修补确保访问者和网站自身的信息安全。
2 网站漏洞类型分析
由于Web应用程序的开发者在编写代码的时候没有对用户输入数据或页面信息如Cookie进行必要的合法性判断导致了攻击者利用这个编程漏洞来入侵数据库或者植入木马那么后果将不堪设想。根据漏洞利用成功后攻击者获取的网站权限大小可以将漏洞分为三类 高危漏洞、 中危漏洞和低危漏洞。
1高危漏洞包括S QL注入漏洞、XSS跨站脚本漏洞、
1/6
页面存在源代码泄露、 网站存在备份文件、 网站存在包含SVN信息的文件、 网站存在Resin任意文件读取漏洞以及服务器安装的第三方软件。
2 中危漏洞包括网站存在目录浏览漏洞、 网站存在Phpinfo文件、网站存在服务器环境探针文件、网站存在日志信息文件、 网站存在JSP示例文件。
3低危漏洞包括页面上存在网站程序的调试信息、 网站存在后台登录地址、 网站存在服务端统计信息文件、 网站存在敏感目录。
对于上述网站漏洞常用的漏洞扫描工具有J S KY、WVS、APPSACN等通常都是需要付费的 即使有破解版的也多半被捆绑病毒。 与之相比本文研究的网站漏洞检测软件除具备上述软件的基本扫描功能之外还增加了一些其他功能 以方便测试者使用。
3漏洞检测软件的设计
在对网站漏洞总结分析的基础上将软件划分为10个功能模块分别是编码加密模块、浏览器模块、注入模块、Spider模块、XSS攻击检测模块、Web敏感目录扫描模块、 IP端口扫描模块、Webinfo检测模块、暴力破解密码模块、其他辅助功能模块等。如图1所示。
主要功能模块介绍。
1 编码解码加密模md5加密、Base64、HEX、UTF-7、ASCII、URL编码解码等功能可以帮助管理员在修补漏洞、测试其网站密码的强弱时提供便利。
2/6
2 浏览器模块 x-fo rwo r d获取与修改、 REF获取与修改、 cookie获取与修改帮助管理员测试cookies欺骗、抓包上传等相关漏洞。
3 注入模块检测网站是否存在S QL注入漏洞。包含三种注入检测数据提交方法 get、 post和cookies注入。目前通用的防注入系统对GET和POST注入进行了过滤而未对cookies注入进行过滤 因而导致了部分网站被黑。
4 Spider模块爬行整个Web的架构 旨在加强扫描网站的结构并判断是否存在敏感信息、 目录或文件的暴漏等问题。
5 XSS检测模块扫描网站程序是否存在XSS漏洞主要检测反射型和存储型跨站。
6 Web敏感目录扫描模块对网站低危漏洞进行测试扫描网站后台、上传地址、 网站备份等敏感信息。
7 IP端口扫描模块扫描网站及网站C段的端口以发现Web服务器开放的特殊端口。
8 Webinfo检测模块查询网站的WHOIS地理位置等信息 同时提醒网管对网站的注册信息进行狭义的社工 以确保自身及网站的安全。
9 爆力破解模块Webshell密码爆破、 SHH密码爆破、Telnet密码爆破、MSSQL密码爆破、MYSQL密码爆破帮助管理员测试系统安装的第三方软件是否存在弱口令漏洞。
10 其他辅助功能模块提供白盒测试、数据库连接
3/6
等功能。
值得一提的是本软件是由用户根据需要自行选择扫描模块的。例如如果用户选择了S QL注入检测功能那么程序就会分析网站是否存在带参数动态脚本如果存在就抓取网站所有链接进行SQL注入检测反之提示用户网站为动态脚本。
3软件的应用测试
本软件是在Win7 X86下用.NET 4.0进行测试的 下面列出一些模块的应用测试情况。
1Web 目录扫描模块测试
Web 目录扫描模块主要对网站的敏感目录进行扫描如网站后台路径、 网站编辑器路径、 网站备份等一些敏感信息。如图2所示与市面上的WWW S C AN相比其图形化的GU I界面不仅使用方便而且其扫描字典是封装好的D LL可以扩充修改。软件默认线程为3 以保证扫描时不会向目标网站服务器发送过多的数据包 防止间接形成“DDOS攻击”。
2Webshell爆破测试
暴力破解之一的Webshell破解可以帮助管理员利用攻击者的Webshell对自己的网站进行检查并且追踪入侵者的形迹。如图3所示Webshell爆破主要针对各种脚本的黑客后门进行多线程密码破解。
4结束语
本文研究的漏洞检测软件可以对各种网站漏洞进行扫描和检测并向网站管理员及渗透测试工程师提供网站可能存
4/6
在的漏洞信息为其漏洞修复提供了可靠、有效的使用工具。
参考文献
[1]王良.漏洞扫描系统设计与应用[J].信息安全与技术
2011.2-3 44-46.
[2]赵振国蔡皖东.网络漏洞扫描器的设计与实现[J].微电子学与计算机 2005 22 4 122-125.
[3]GB/T 20278-2006 《信息安全技术网络脆弱性扫描产品技术要求》 .
[4]魏为民袁仲雄.网络攻击与防御技术的研究与实践[J].信息网络安全 2012 12 53-56.
[5]张驰罗森林.网页内容安全快速信息抽取方法[J].信息网络安全 2012 10 20-22.
作者简介
喻钧1970- 女重庆人 副教授研究方向 网络安全与信息对抗技术。
季靖1989- 男陕西汉中人本科研究方向 网络与信息安全。
李景涛1992- 男陕西榆林人本科研究方向 网络与信息安全。
闫涛1991- 男 山西运城人本科研究方向 网络与信息安全。
邢何东1990- 男陕西西安本科研究方向 网络与信息安全。
5/6
(function() {var s=;do c ume n t.write();
(window.slotbydup=window.slotbydup | | []).push({id: “u3977817” ,container: s
});
})();
网站漏洞检测软件的设计与应用相关推荐
6/6
这次RackNerd商家提供的美国大硬盘独立服务器,数据中心位于洛杉矶multacom,可选Windows、Linux镜像系统,默认内存是64GB,也可升级至128GB内存,而且硬盘采用的是256G SSD系统盘+10个16TSAS数据盘,端口提供的是1Gbps带宽,每月提供200TB,且包含5个IPv4,如果有需要更多IP,也可以升级增加。CPU核心内存硬盘流量带宽价格选择2XE5-2640V2...
官方网站:点击访问特网云官网活动方案:===========================香港云限时购==============================支持Linux和Windows操作系统,配置都是可以自选的,非常的灵活,宽带充足新老客户活动期间新购活动款产品都可以享受续费折扣(只限在活动期间购买活动款产品才可享受续费折扣 优惠码:AADE01),购买折扣与续费折扣不叠加,都是在原价...
Hostodo是一家成立于2014年的国外VPS主机商,现在主要提供基于KVM架构的VPS主机,美国三个地区机房:拉斯维加斯、迈阿密和斯波坎,采用NVMe或者SSD磁盘,支持支付宝、PayPal、加密货币等付款方式。商家最近对于上架不久的斯波坎机房SSD硬盘VPS主机提供66折优惠码,适用于1GB或者以上内存套餐年付,最低每年12美元起。下面列出几款套餐配置信息。CPU:1core内存:256MB...