|
AWVS基础教程介绍Acunetix Web Vulnerability Scanner(AWVS)经典商业漏扫工具。可以扫描任何通过Web浏览器访问和遵循HTTP/HTTPS规则的Web站点。AWVS可以通过检查SQL注入攻击漏洞、XSS跨站脚本攻击漏洞等漏洞来审核Web应用程序的安全性。
AWVS功能及特点- 自动的客户端脚本分析器,允许对Ajax和Web2.0应用程序进行安全性测试
- 业内最先进且深入的SQL注入和跨站脚本测试
- 高级渗透测试工具,例如HTPP Editor和HTTP Fuzzer
- 可视化宏记录器帮助您轻松测试web表格和受密码保护的区域
- 支持含有CAPTHCA的页面,单个开始指令和Two Factor(双因素)验证机制
- 丰富的报告功能,包括VISA PCI依从性报告
- 高速的多线程扫描器轻松检索成千上万的页面
- 智能爬行程序检测web服务器类型和应用程序语言
- Acunetix检索并分析网站,包括flash内容,SOAP和AJAX
- 端口扫描web服务器并对在服务器上运行的网络服务执行安全检查
- 可到处网站漏洞文件
AWVS工作原理- 扫描整个网络,通过跟踪站点上的所有链接和robots.txt来实现扫描,扫描后AWVS就会映射出站点的结构并显示每个文件的细节信息。
- 在上述的发现阶段或者扫描过程之后,AWVS就会自动地对所发现的每一个页面发动一系列的漏洞攻击,这实质上是模拟一个黑客的攻击过程(用自定义的脚本去探测是否有漏洞) 。AWVS分析每一个页面中需要输入数据的地方,进而尝试所有的输入组合。这是一个自动扫描阶段 。
- 在它发现漏洞之后,AWVS就会在“Alerts Node(警告节点)”中报告这些漏洞,每一个警告都包含着漏洞信息和如何修补漏洞的建议。
- 在一次扫描完成之后,它会将结果保存为文件以备日后分析以及与以前的扫描相比较,使用报告工具,就可以创建一个专业的报告来总结这次扫描。
- 安装这里使用docker进行安装,方便又快捷
| # pull 拉取下载镜像 |
| docker pull secfa/docker-awvs |
| |
| # 将Docker的3443端口映射到物理机的 13443端口 |
| docker run -it -d -p 13443:3443 secfa/docker-awvs |
| |
| # 容器的相关信息 |
| awvs13 username: admin@admin.com |
| awvs13 password: Admin123 |
| |
浏览器访问:https://127.0.0.1:13443
![](https://cdn.jsdelivr.net/gh/JOHN-FROD/PicGo/blog-img/20220427204623.png)
主菜单功能介绍:主菜单共有5个模块,分别为Dashboard、Targets、Vulnerabilities、Scans和Reports。
- Dashboard:仪表盘,显示扫描过的网站的漏洞信息
- Targets:目标网站,需要被扫描的网站
- Vulnerabilities:漏洞,显示所有被扫描出来的网站漏洞
- Scans:扫描目标站点,从Target里面选择目标站点进行扫描
- Reports:漏洞扫描完成后生成的报告
设置菜单功能介绍:设置菜单共有8个模块,分别为Users、Scan Types、Network Scanner、Issue Trackers、Email Settings、Engines、Excluded Hours、Proxy Settings
- Users:用户,添加网站的使用者、新增用户身份验证、用户登录会话和锁定设置
- Scan Types:扫描类型,可根据需要勾选完全扫描、高风险漏洞、跨站点脚本漏洞、SQL 注入漏洞、弱密码、仅爬网、恶意软件扫描
- Network Scanner:网络扫描仪,配置网络信息包括地址、用户名、密码、端口、协议
- Issue Trackers:问题跟踪器,可配置问题跟踪平台如github、gitlab、JIRA等
- Email Settings:邮件设置,配置邮件发送信息
- Engines:引擎,引擎安装删除禁用设置
- Excluded Hours:扫描时间设置,可设置空闲时间扫描
- Proxy Settings:代理设置,设置代理服务器信息
- 使用AWVS扫描网站这里扫我本地搭的DVWA网站进行验证
|
|