Web漏洞扫描（四：知识点及错误总结）

绝地灬酷狼 2022-01-28 04:49 302阅读 0赞

# **WVS****软件：** #

WVS(Web Vulnerability Scanner)是一个自动化的Web应用程序安全测试工具，它可以扫描任何可通过Web浏览器访问的和遵循HTTP/HTTPS规则的Web站点和Web应用程序。适用于任何中小型和大型企业的内联网、外延网和面向客户、雇员、厂商和其它人员的Web网站。

工作方式：

1.  它将会扫描整个网站，它通过跟踪站点上的所有链接和robots.txt（如果有的话）而实现扫描。然后WVS就会映射出站点的结构并显示每个文件的细节信息。
2.  在上述的发现阶段或扫描过程之后，WVS就会自动地对所发现的每一个页面发动一系列的漏洞攻击，这实质上是模拟一个黑客的攻击过程。WVS分析每一个页面中可以输入数据的地方，进而尝试所有的输入组合。这是一个自动扫描阶段。
3.  在它发现漏洞之后，WVS就会在“Alerts Node（警告节点）”中报告这些漏洞。每一个警告都包含着漏洞信息和如何修复漏洞的建议。
4.  在一次扫描完成之后，它会将结果保存为文件以备日后分析以及与以前的扫描相比较。使用报告工具，就可以创建一个专业的报告来总结这次扫描。

# **Burp Suite****软件：** #

Burp Suite 是用于攻击web 应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并能处理对应的HTTP 消息、持久性、认证、代理、日志、警报。

工具箱介绍：

1.  Proxy——是一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
2.  Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
3.  Scanner\[仅限专业版\]——是一个高级的工具，执行后，它能自动地发现web 应用程序的安全漏洞。
4.  Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
5.  Repeater——是一个靠手动操作来补发单独的HTTP 请求，并分析应用程序响应的工具。
6.  Sequencer——是一个用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
7.  Decoder——是一个进行手动执行或对应用程序数据者智能解码编码的工具。
8.  Comparer——是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”。

## **排错一：Brup Suite软件代开错误。** ##

**排错思路：**

1.  查看软件日志；
2.  检索错误提示；
3.  检查开发环境；

**原因：**主机Java版本较高。

![20190523105615183.png][]

**解决方案：**

更换Java版本，更换为jdk1.8版本；

## **排错二：Burp Suite软件的“Actively scan this host”功能无效。** ##

**排错思路：**

1.  检查软件是否安装合适；
2.  检查开发环境是否配置合适；

**原因：**Burp Suite软件的使用版本不支持此功能。

**解决方案：**

激活Kali系统中的BurpSuite软件；

1、下载Burp Suite Pro的安装包和注册机

下载链接：[https://pan.baidu.com/s/1TTPVEhYSV25rp4VZ\_0Z1AA][https_pan.baidu.com_s_1TTPVEhYSV25rp4VZ_0Z1AA]

提取码：at2k

2、解压下载的burpsuite\_pro\_v1.7.37.rar压缩包，然后进入解压后的目录burpsuite\_pro\_v1.7.37使用命令“java -jar burp-loder-keygen.jar”运行keygen,修改license text；

3、运行Keygen，复制license，然后点击run,弹出drup界面;

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3ODIzNjA1_size_16_color_FFFFFF_t_70][]

4、在弹出的durp界面点击“I Accept”，然后将复制的license粘贴到Enter license key,点击next；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3ODIzNjA1_size_16_color_FFFFFF_t_70 1][]

5、点击burp界面的“copy request” 粘贴到注册机对应的Activation Request上，然后将Activation Response中的内容粘贴到durp的response中；

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3ODIzNjA1_size_16_color_FFFFFF_t_70 2][]

[20190523105615183.png]: /images/20220128/9556ce8a648b41d9b00c03667d6f8ca2.png
[https_pan.baidu.com_s_1TTPVEhYSV25rp4VZ_0Z1AA]: https://pan.baidu.com/s/1TTPVEhYSV25rp4VZ_0Z1AA
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3ODIzNjA1_size_16_color_FFFFFF_t_70]: /images/20220128/63f8af2472f841d1bf66c999a67a5345.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3ODIzNjA1_size_16_color_FFFFFF_t_70 1]: /images/20220128/a0d99cbf49a14b7b8d65451cf75cb20e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM3ODIzNjA1_size_16_color_FFFFFF_t_70 2]: /images/20220128/f888cfb048114255b5bc881a1eeee5f9.png