安全扫描器N-StalkerFreeedition介绍与使用解析.docx

安全扫描工具N-Stalker Free edition介绍及使用2016年2月目录1.软件简介32.快速入门32.1安装32.2功能详解42.3应用53.总结101.软件简介N-Stalker Web漏洞扫描器是N-Stalker公司研发的一个顶级的安全评估工具。通过与知名的N-Stealth HTTP Security Scanner及其35,000个web攻击签名数据库合并，以及正在申请专利的web应用程序安全评估技术组件，N-Stalker Web漏洞扫描器能为你的web应用程序彻底消除大量普遍的安全隐患，包括跨站点的脚本和SQL injection，缓冲溢出，篡改参数攻击等等。2.快速入门2.1安装根据安装指导进行操作即可安装首界面安装完成之后需要对软件中的组件进行升级操作，以获得最新的漏洞库2.2功能详解N-Stalker Web漏洞扫描器拥有三个不同级别的版本，来更准确地满足不同用户的需求，包括：1. QA Edition (研发和SQA测试)专门为开发人员和软件质量保证专业人员研制的专业的解决方案，用于评估定制的Web应用程序。2. Infrastructure Edition (Web服务器设施安全)专门为Web服务器管理员和IT专业人员所研制的专业解决方案，用于评估Web服务器设施。3. Enterprise Edition (全面的Web应用程序安全测试)专门为审查员和安全专家所研制的最完整和全面的解决方案包。N-Stalker WEB漏洞扫描器产品特点：☆ 指纹识别HTTP与服务器端技术的发现者☆ 自动假阳性预防引擎☆ 面向构件的Web信息采集和扫描引擎☆ 遵守法律为导向的安全性分析☆ 政策驱动的Web应用安全扫描☆ 强大的嵌入式HTTP调试☆ 自定义脚本语言的目的是建立自己的安全检查☆ 自定义网站导航脚本记录☆ 有效的多线程扫描出最好的成绩☆ 最完整的35000网络攻击签名的数据库☆ 自制解决方案[不需要第三方数据库或软件]☆ 支持多个Web认证计划☆ CVE兼容性☆ 入侵检测系统回避要求编码器☆ 特别攻击控制台监察漏洞☆ 扫描对比报表生成增强☆ 扫描报告支持多种格式( RTF格式， HTML格式， PDF格式)2.3应用1.策略编辑器：点击?Policy Editor(策略编辑器)来设置扫描的一些规则等，点开Policy Editor会看到左侧的树形结构，以及对应的右侧的详细描述，都是一些具体的规则等。2.策略编辑器选项：策略编辑器中的规则描述是非常详细的，主要有漏洞的名称、漏洞危害等级、漏洞类型、目标服务器、修复解决方案等。3.扫描配置：扫描开始之前需要先配置一下，主要有以下几个方面:（1）Choose urlPolicy：设置扫描目标和扫描规则Enter Web Application URL:填写要扫描的网站URL地址Choose Scan Policy:选择扫描规则，有针对XSS的，也有OWASP扫描规则等。Load Scan Session:加载之前保存的扫描会话Load Spider Date:加载蜘蛛爬行数据，该功能免费版的不支持。（2）详细设置可以设置身份认证信息（有些时候需要登录之后扫描测试、要扫描的脚本语言类型、设置跳过的Web应用程序的显示状态（比如404，500）等。（3）设置的详细信息设置以上信息之后，点击”next”就会看到设置的详细信息，以及域名对应的IP地址等信息。（4）当扫描结束点击”close session“就会看到对话框询问你保存和是放弃扫描结果。选择保存之后，点击”Report manager’就可以看到扫描结果，还可以生成PDF格式的扫描结果。?总结N-Stalker等WEB扫描器具有强大的扫描能力和插件库，在扫描时支持大量并发扫描，对于一些网站服务器处理能力较低的网站，建议调整扫描策略，设置较低的扫描并发值；在扫描时，N-Stalker等WEB扫描器会构造大量数据包对服务端程序进行请求，包括GET、PUT和POST请求，可能会在服务端程序表单中填充大量测试数据或者在根目录中写入测试数据。