文档首页 > > 用户指南> 漏洞扫描>

Web漏洞扫描

Web漏洞扫描

分享
更新时间:2021/04/28 GMT+08:00

本章节为您介绍如何使用软件开发平台对网站进行漏洞扫描。

操作步骤

  1. 登录软件开发平台首页,搜索目标项目并单击项目名称,进入项目。
  2. 单击顶部导航栏测试 > 漏洞扫描 ,选择“Web漏洞扫描”页签。
  3. 单击“新增”,输入待扫描的域名信息。

    • 输入待扫描的域名/IP、备注名称等信息。
    • 参考归属权认证操作方法,完成网站归属权认证。如果通过认证,则可以进行下一步操作。

  4. 根据网站业务情况,选择合适的登录方式,并输入相应登录信息。

    系统支持以下三种登录方式,若待扫描的网站有大量需要用户登录后操作的业务逻辑,推荐您选择前两种登录方式,以便更全面发现待扫描网站的漏洞。

    登录方式

    说明

    用户名密码登录

    扫描器会将此处填写的用户名和密码,模拟登录网站。登录页面输入框里请填写登录页面的URL,登录验证网址输入框用来验证是否可以成功模拟登录,可以填写一个需要登录的页面地址,如用户个人中心、管理后台等页面。

    cookies登录

    扫描器会将您填写的cookies填充到每个请求中,请您注意cookies有效期,确保长时间不过期或过期后及时更换。

    无需登录

    如果网站没有需要登录的页面,您可以选择此项。

  5. 完成全部设置后,单击“确定并扫描”,系统将跳转至域名列表,并自动启动漏洞扫描。

    若完成设置时单击“确定”,需要在域名列表中单击启动漏洞扫描。

  6. 扫描过程中,域名列表会实时刷新扫描状态,如发现漏洞,将会在页面中显示漏洞统计数量和安全评分。

    扫描完成后,在域名列表中单击查看扫描报告;或单击域名进入详情页,选择“扫描报告”页面查看报告详情。

    若网站存在漏洞,单击对应漏洞的“漏洞详情”,即可在弹框中查看漏洞的详细信息和修复建议。

归属权认证操作方法

新建漏洞扫描任务时,需要进行待扫描网站的归属权认证。操作步骤如下:

  1. 单击“认证文件”,将认证文件下载到本地电脑。
  2. 将认证文件上传到待扫描网站的根目录中。
  3. 上传完成后,返回新建漏洞扫描任务页面,单击“去确认”,观察能否在本地浏览器成功访问该认证文件。

    如果不能访问,请检查待扫描网站所在服务器的防火墙、安全组等是否正确配置。

  4. 单击“认证”,漏洞扫描服务会在后台访问该文件,确认网站的归属权。

下表列出了一些常见Web服务器上传文件的方法,以供参考。

  • Tomcat/Apache/IIS
    1. 使用root或管理员账号登录网站所在服务器。
    2. 找到Web根目录,即“index”文件的同级目录。
      Web根目录的默认位置通常如下表所示:

      Web服务器

      默认根目录

      Tomcat

      /webapps/ROOT/

      Apache

      /var/www/html

      IIS

      C:\inetpub\wwwroot

      3. 将认证文件“SecScan-certify.html”保存根目录下。

  • Nginx
    1. 使用root或管理员账号登录网站所在服务器。
    2. 将认证文件上传到任意目录下,保证Nginx进程对此目录有读权限。
    3. 打开“nginx.conf”文件,配置http模块的location信息。将“/SecScan-certify.html”的访问重定向到上一步的文件。

      以下是“nginx.conf”文件的配置示例,请根据实际情况修改。

    4. 执行以下命令刷新配置。
      nginx -s reload
  • Node.js
    1. 在服务代码中加入以下代码行,绑定静态资源路径。
      app.use(express.static(path.join(‘config’)));

      以下是服务代码main.js文件的配置示例,请根据实际情况修改。

    2. 执行以下命令,启动应用程序。
      node main.js
    3. 在应用程序的启动路径下创建资源目录“config”,将认证文件放入该目录内。
  • Springboot

    如果springboot配置文件中自定义了“spring.resources.static-locations[0]”,可直接将认证文件“/SecScan-certify.html”放置到相应的目录下。

    如果没有上述自定义,则参考以下操作步骤完成配置。

    对于配置了context-path属性的工程,目前暂时无法完成归属权认证,可考虑在认证前删除该配置,完成认证后再行恢复。

    1. 使用解压软件打开可执行jar包,进入jar包“/BOOT-INF/classes”目录下创建资源文件夹resources

    2. “SecScan-certify.html”文件放置到“resources”目录下。

      1. 以上两步可以在压缩包内直接操作,无需解压后重新打包。
      2. springboot默认访问静态资源优先级resources > static > public,同时存在这三个静态资源目录时,注意考虑文件优先级顺序。
    3. 执行以下命令,启动修改后的jar包。其中xxx.jar为jar包的名称,请根据实际情况修改。
      java -jar xxx.jar
    4. 确认通过浏览器可以正常访问认证文件即可。

分享:

    相关文档

    相关产品