Обзор продукта: сканер веб-уязвимостей Acunetix

Вот их описание программного обеспечения: «Этот пакет предоставляет полнофункциональный сканер веб-безопасности, поисковый робот, инструмент анализа отчетов, а также объяснения веб-безопасности и обширную базу данных проверок безопасности для всех ведущих платформ веб-серверов. Универсальное программное обеспечение для веб-безопасности позволяет пользователю сканировать уязвимости SANS Top 20 и OWASP Top 10 2004 года. Кроме того, новая базовая функция сканирования безопасности автоматически обнаруживает, сообщает и устраняет устаревшее серверное программное обеспечение, еще больше закрывая ваш веб-сервер от уязвимостей и возможных атак».

Продукт: сканер веб-уязвимостей Acunetix

Домашняя страница продукта: нажмите здесь

30-дневная пробная версия: нажмите здесь

Установка Acunetix WVS

Вы можете загрузить 30-дневную тестовую оценочную версию WVS по адресу http://www.acunetix.com/download/, которая позволяет сканировать тестовый веб-сайт Acunetix (http://test.acunetix.com). Его можно установить на Windows 2000, XP или Server 2003 (также необходим Internet Explorer 5.1 или выше). Мастер настройки довольно прост. После того, как вы примете лицензионное соглашение, вам будет предложено выбрать место для установки WVS. Для его установки требуется 16,1 МБ свободного места на диске.

Далее вас спросят, включить ли поддержку базы данных. Если вы решите включить поддержку базы данных, вы затем выберете сохранение результатов сканирования либо в базе данных Microsoft Access (вам не обязательно устанавливать Access на этом компьютере, чтобы использовать этот параметр), либо в Microsoft SQL Server (версия 7 или выше). ) или базу данных Microsoft Desktop Engine (MSDE). Если вы решите использовать базу данных SQL, вам, конечно же, понадобится установленный в сети сервер SQL, и вам потребуется ввести действительные учетные данные для входа в базу данных SQL.

Вы можете выбрать, будет ли WVS размещать значок на рабочем столе (по умолчанию так и есть). Теперь вы готовы начать установку. Просмотрите информацию об установке и нажмите кнопку «Установить». Завершение установки заняло всего несколько секунд.

Вы можете запустить инструмент со значка на рабочем столе или из меню «Программы». Обратите внимание, что подменю Acunetix содержит несколько вариантов, как показано на рисунке A.

Рисунок A: Acunetix добавляет подменю в меню «Программы».

Редактор уязвимостей содержит все тесты, которые программа использует во время сканирования. Хотя вы можете вносить в него изменения, вы не должны этого делать, потому что это может повлиять на способность сканера работать должным образом.

Выберите Acunetix Web Vulnerability Scanner, чтобы запустить программу. Когда WVS откроется, вы увидите интерфейс с несколькими панелями, как показано на рисунке B.

Рисунок B: Интерфейс Acunetix WVS

Если вы приобрели программное обеспечение и загрузили и установили полную версию продукта: разверните узел «Общие» на левой панели «Проводник инструментов» и щелкните правой кнопкой мыши «Лицензирование». Нажмите «Лицензионный продукт», и появится диалоговое окно, в котором вы можете ввести свой лицензионный ключ. Если вы оцениваете продукт, щелкнув этот узел, вы узнаете, сколько времени осталось до 30-дневного пробного периода.

Обзор функций

Итак, теперь, когда вы установили его, что он делает? Сканер обнаруживает узлы, на которых запущены службы веб-сервера, и сканирует их на наличие распространенных уязвимостей, таких как межсайтовый скриптинг (XSS), обход каталогов, внедрение SQL и многие другие. Он выполнит проверку подлинности HTTP для обнаружения небезопасных конфигураций или слабых паролей и проверит конфигурацию безопасности сервера. Он позволяет узнать, есть ли у вас устаревшее серверное программное обеспечение, которое может нуждаться в исправлении или обновлении.

Вы можете сканировать виртуальные веб-хосты и все типы веб-серверов, а не только серверы на базе Windows. WVS поддерживает операционные системы UNIX и Linux, веб-службы Apache и файлы конфигурации PHP. Вы также можете проводить специальные тесты операционной системы.

Вы можете сканировать многие типы веб-страниц и файлов, включая ASP и CGI. Он поддерживает безопасный HTTP (HTTPS) и прокси-серверы.

Параметры конфигурации

Вы можете установить параметры конфигурации, щелкнув узел Конфигурация на левой панели. Нажмите «Настройки», чтобы настроить следующие параметры:

• Общие — здесь вы можете изменить URL-адрес обновлений (www.acunetix.com/wvsupdate/) и выбрать, когда WVS должен проверять наличие обновлений (либо при запуске приложения, либо при выборе пункта «Проверить наличие обновлений» в меню «Справка»). ). Эта страница также используется для установки общих параметров HTTP, таких как ограничение размера файла (в килобайтах) и время ожидания HTTP-запроса (в секундах).
• Настройки локальной сети. Здесь вы можете указать программе использовать прокси-сервер HTTP и/или прокси-сервер SOCKS и ввести идентификационную информацию и учетные данные для каждого из них.
• База данных — этот параметр позволяет включать, отключать или изменять тип базы данных, в которой вы хотите сохранять результаты сканирования.
• Настройки инструмента: Сканер сайта — здесь вы можете указать, какие типы файлов должны быть включены или исключены, когда сканер извлекает файлы и каталоги.
• Настройки инструмента: Сканер — на этой странице вы устанавливаете параметры сканирования, например, сообщать ли о внутренних ошибках сервера, отключать предупреждения, генерируемые сканером (например, для неработающих ссылок) и/или синхронизировать сканеры при сканировании веб-сайтов с файлами на нескольких хостах.. Вы также можете указать, какие хосты разрешено сканировать.
• Настройки инструмента: HTTP-сниффер — здесь вы можете указать встроенному HTTP-снифферу, какой интерфейс и порт прослушивать.

Выполнение сканирования

Чтобы выполнить сканирование веб-приложений и обнаружить уязвимости веб-серверов, щелкните Файл | Создать и выберите Сканировать.

Примечание:
Если у вас установлено программное обеспечение IDS, оно увидит сканирование WVS как несколько попыток вторжения и отправит вам предупреждения.

Появится мастер сканирования, как показано на рисунке C.

Рисунок C. Мастер сканирования позволяет задать параметры сканирования

На первой странице мастера находятся три кнопки выбора. Вы можете выбрать:

• Сканировать один веб-сайт (HTTP или HTTPS). Введите URL-адрес или IP-адрес сайта, который вы хотите просканировать.
• Сканировать список компьютеров. Вам нужно будет создать текстовый файл, содержащий список имен компьютеров или IP-адресов.
• Сканировать ряд компьютеров. Введите начальный и конечный IP-адреса и список портов, которые вы хотите сканировать (например, порт 80).

На следующей странице появится список целевых сайтов или компьютеров. Вы можете развернуть узел для каждой цели, чтобы увидеть обнаруженные детали (и вы можете изменить их, если они неверны), как показано на рисунке D.

Рисунок D. Выберите цели для сканирования уязвимостей

На следующей странице вы можете создать профиль сканирования (который включает или отключает различные тесты), чтобы ускорить процесс сканирования. Вы также можете установить параметры обхода, как показано на рис. E. Искатель — это программный компонент, который «сканирует» или обходит веб-сайт. Установка этих параметров указывает сканеру пропускать или включать определенные ссылки и файлы.

Примечание:
Когда вы устанавливаете параметры сканера в мастере сканирования, они применяются только к этому конкретному сканированию. Если вы хотите изменить поведение искателя по умолчанию, вы можете сделать это, развернув узел Конфигурация в левой панели Проводника инструментов консоли WVS и щелкнув Настройки | Настройки инструментов | Гусеничный трактор.

Рисунок E. Установите профиль сканирования для использования и задайте параметры сканирования

По умолчанию выбраны следующие параметры:

• Не извлекать ничего выше стартовой папки
• Получить файлы ниже базовой папки
• Извлекать индексы каталогов, даже если они не связаны

Кроме того, вы можете выбрать:

• Запустить HTTP-сниффер для ручного сканирования в конце процесса.
• Получить только первый URL
• Аутентификация с указанным именем пользователя и паролем

Вам следует выполнить сканирование вручную, если сканер не может автоматически переходить по всем ссылкам. После ручного обхода сканер включает ссылки, обнаруженные вручную, в структуру сайта. Вы можете выбрать получение первого URL-адреса только в том случае, если не хотите, чтобы искатель переходил по каким-либо ссылкам, которые выходят за пределы целевого веб-сайта. Вы должны ввести имя пользователя и пароль, если хотите сканировать сайты, требующие аутентификации.

После того, как вы установите все эти параметры, нажмите «Далее» и установите или снимите флажок, чтобы сохранить результаты в базе данных. Затем нажмите Готово, чтобы начать сканирование.

Получение результатов

Результаты сканирования содержат следующие узлы:

• Оповещения. Развернув этот узел, вы получите список уязвимостей безопасности, обнаруженных во время сканирования, таких как небезопасные конфигурации, проблемы с разрешениями или устаревшие версии программного обеспечения. Оповещения классифицируются как только информационные, низкого, среднего или высокого уровня. Вы можете щелкнуть уязвимость в узле «Предупреждения», чтобы просмотреть сведения о ней на правой панели. Сюда входят рекомендации по устранению уязвимости и список литературы, где можно получить дополнительную информацию об уязвимости.
• Структура сайта — в этом узле показаны каталоги и файлы, обнаруженные сканером (в том числе обнаруженные при ручном обходе), и их структура в файловой системе. Вы можете щелкнуть имя файла или каталога на левой панели, чтобы получить информацию о нем (например, его путь, размер в байтах, результаты HTTP Get и т. д.) на правой панели.

Окно в нижней части консоли — это окно активности. Он регистрирует все действия, выполняемые WVS. Окно результатов сканирования покажет вам (в скобках) номер каждой найденной уязвимости. Например, наши результаты показали 4 неработающих ссылки и один экземпляр межсайтового скриптинга.

Вы можете использовать пункт «Сравнить результаты» в меню «Инструменты», чтобы сравнить результаты текущего сканирования с результатами предыдущего (сохраненного) сканирования.

Создание отчетов

Если вы включили поддержку базы данных, вы можете создавать отчеты из файлов базы данных SQL или Access. Если вы не включили поддержку базы данных во время установки, вы можете сделать это в любое время, развернув узел Конфигурация и щелкнув Настройки | База данных. В разделе «Параметры приложения» на небольшой средней панели щелкните «База данных», а затем установите флажок, чтобы включить поддержку базы данных, выберите тип базы данных в раскрывающемся списке и введите путь к базе данных Access или информацию о сервере и учетные данные для базы данных SQL..

Инструмент Reporter используется для создания отчета на основе информации в базе данных. В консоли WVS щелкните Создать | Сообщить. Запустится мастер создания отчетов. Сначала вам будет предложено выбрать сканы, сохраненные в базе данных, из которых вы хотите создать отчет. Нажмите «Далее», и вы сможете настроить информацию, которая будет включена в отчет. Вы можете включить только оповещения определенной серьезности (информационная, низкая, средняя и/или высокая), а также выбрать, следует ли отображать подробные оповещения, показывать заголовки запросов/ответов и/или отображать диаграмму оповещений. Вы также можете указать заголовок отчета, текст верхнего и нижнего колонтитула и выбрать изображение заголовка.

Отчет будет разделен на следующие разделы:

• Группы сканирования
• Сводка сканирования
• Сводка предупреждений
• Сведения об оповещениях

Сводка сканирования покажет вам время начала и окончания сканирования, продолжительность сканирования и общую информацию о веб-сервере, такую как операционная система и баннер сервера (версия веб-служб).

Вы можете сохранить отчет в файл и/или распечатать его. Вы также можете создавать шаблоны отчетов, включающие выбранные тестовые модули, чтобы быстро и легко настраивать отчеты.

Дополнительные инструменты

Пакет Acunetix WVS также включает в себя несколько дополнительных инструментов:

• Редактор HTTP — для создания пользовательских HTTP-запросов и анализа ответов, а также для определения формата вывода/ответа (например, обычный текст или HTML). Он включает в свой интерфейс инструмент кодирования-декодирования для преобразования между обычным текстом и URL-кодированием или кодировкой Base64, а также редактор переменных, который позволяет редактировать переменные запроса, файлы cookie и данные запроса.
• Target Finder — для проверки списка или диапазона IP-адресов для обнаружения серверов HTTP/HTTPS.
• Тестер аутентификации — который можно использовать для проверки или восстановления действительных паролей для целевого сайта, защищенного паролем. Он используется для взлома паролей с использованием методов грубой силы.

Доступ к ним можно получить из меню «Инструменты» на консоли WVS. Существует также мастер устранения неполадок, доступ к которому можно получить из подменю Acunetix в меню «Программы».

Резюме

Сканер веб-уязвимостей Acunetix легко установить, настроить и использовать. От начала процедуры установки до получения первых результатов сканирования у вас уйдет всего несколько минут. Эта простота, однако, не означает, что она не сложная или тщательная. Существует множество способов настройки и настройки его поведения, а также ряд дополнительных инструментов для добавления дополнительных функций. Он также поставляется с довольно подробным руководством пользователя в формате справки HTML (вы можете получить доступ к PDF- и веб-версиям руководства на веб-сайте Acunetix). Нам также понравился тот факт, что, в отличие от многих программ, Acunetix предоставляет простую опцию «Удалить» в своем программном меню на случай, если вам нужно удалить ее — хотя мы не планируем этого делать, поскольку она работала, как заявлено, не вызывая каких-либо конфликтов или проблемы.

WindowSecurity.com Рейтинг: 4.5/5

Для получения дополнительной информации о веб-сканере уязвимостей Acunetix щелкните здесь.