浅谈开 放式风险评估工具OpenVAS.docVIP

翻译人：dongyuedy 原作者：Vinod Mondhekar ??? 浅谈开放式风险评估工具OpenVAS OpenVAS是一款免费的开放式风险评估工具，可以检测远程系统和应用程序中的安全问题。最初作为Nessus一个子工具，被称为 GNessUs。其特点就是允许继续免费开发。最早是由Portcullis Computer security公司的渗透测试人员发布的，之后由Slashdot网站的Tim Brown发布。 ??? 用户需要一种自动测试的方法，并确保正在运行一种最恰当的最新测试。OpenVAS包括一个中央服务器和一个图形化的前端。这个服务器准许用户运行 几种不同的网络漏洞测试（以Nessus攻击脚本语言编写），而且OpenVAS可以经常对其进行更新。OpenVAS所有的代码都符合GPL规范。 ??? 虽然OpenVAS在结构方面有一些不足，还需要不断改进。现在就让我们来看一下OpenVAS的基本安装步骤，了解一下如何在Backtrack 5上使用OpenVAS以及的一些扫描类型。 ? ??? 下载地址： ???? HYPERLINK /download.html /download.html ? 安装OpenVAS: ??? 安装一套所需要的OpenVAS插件的最简单的方法就是在一个终端窗口上输入如下口令。 ???? OpenVAS是一个很好的套装软件，它可以保存所有自动下载并能够成为一套完整工具的所需信息。 ??? 执行完成“apt-get install openvas”之后，就基本安装完成了。可以在菜单看到。如下图 ? OpenVAS配置： ? 1、用户添加：从菜单栏选择“添加用户”。 这里假设用户不是高级管理员，我们可以给用户设置一些规则，然后执行ctrl+D退出。 rules可以暂时不填写，之后在配置规则也是可以的。 用户创建完成之后就可以准备登陆了。 ? 2、OpenVAS check startup 是个很重要的工具。帮你检查系统的错误，并且会友好的提示你是否有必要修复。 其位置在： OpenVAS-check-setup – test completeness and readiness of OpenVAS-4 他会一步一步的检查。。如下图，发现错误会告诉我们错误存在在什么地方并且如何修复。。 如下图现实的错误...OpenVAS scanner的证书没有找到..（之后会配置SSL，不要急） 如果想知道如何修复，运行“OpenVAS –mkcert” ? 在基本错误后，发现又显示一个错误：Error: Your OpenVAS – 4 installation is not yet complete。。安装尚未完成。。?同时系统要求我们提供反馈并记录错误原因以便提高检验程序。此时此刻要淡定，我们继续。。。。 ? 3、OpenVAS Mkcert (process to create certificate): 这个程序是为OpenVAS安装SSL证书。这个不安装是无法到下一步的。安装SSL证书，系统会提示你设置时区，你的城市等等一系列问题。 ? 证书创建的位置如下。。 Certification Authori?? Certificate = /usr /local /var /lib /openvas /ca /cacert .pem ?? Private Key = /usr /local /var /lib /openvas /private /ca /cakey .pemOpenVAS server:??? Certificate = /usr /local /var /lib /openvas /ca /serversert .pem??? Private Key = /usr /local /var /lib /openvas /private /ca /cakey .pem 4、OpenVAS NVT sync：为程序做最后的更新。。。 ? 更新这需要花一些时间了，等等吧。。。更新这个是需要wget，别告诉我你没有哦。。? 更新完成之后将会显示如下界面： ? ? 5、启动OpenVAS scanner：之后我们更新下基本扫描package，这会花一些时间重新收集并且检查加载新的NVTs，当我们下载更新的NVT后，我们需要把它加到这个列表中。。。 ? 之后将会加载所有插件。。。。 ? 到此加载完成。 6、启动OpenVAS manager； 7、这一步我们需要做的第一件事是为OpenVAS mana