安全科普:漏洞掃描那些事

責任編輯:editor005

作者:felix

2016-08-08 15:16:24

摘自:黑客與極客

漏洞掃描一般指掃描暴露在外網(wǎng)或者內(nèi)網(wǎng)里的系統(tǒng)、網(wǎng)絡組件或應用程序,檢測其中的漏洞或安全弱點,而漏洞掃描器則是用來執(zhí)行漏洞掃描的工具。

漏洞掃描一般指掃描暴露在外網(wǎng)或者內(nèi)網(wǎng)里的系統(tǒng)、網(wǎng)絡組件或應用程序,檢測其中的漏洞或安全弱點,而漏洞掃描器則是用來執(zhí)行漏洞掃描的工具。漏洞掃描器一般基于漏洞數(shù)據(jù)庫來檢查遠程主機,漏洞數(shù)據(jù)庫包含了檢查安全問題的所有信息(服務、端口、包類型、潛在的攻擊路徑,等等)。它可以掃描網(wǎng)絡和網(wǎng)站上的上千個漏洞,提供一個風險列表,以及補救的建議。

下列人員會用到漏洞掃描器:

安全審計人員在進行安全審計時。

惡意攻擊者或者黑客在攻擊目標、獲取非法訪問時。

程序開發(fā)團隊在發(fā)布環(huán)境中部署產(chǎn)品之前。

流行的掃描工具包含下面的功能:

維護一個包含最新漏洞的數(shù)據(jù)庫。

以較低的誤報率檢測出漏洞。

同時掃描多個目標。

提供詳細的報告,包括請求和響應對。

提供修復漏洞的建議。

架構(gòu)

掃描器的組件

漏洞掃描可以分成四個部分:

1、用戶接口:用戶通過這個接口運行和配置一個掃描。這可以是圖形界面(GUI)也可以是命令行接口(CLI)。

2、掃描引擎:掃描引擎通過安裝和配置的插件來執(zhí)行掃描。

3、掃描數(shù)據(jù)庫:掃描數(shù)據(jù)庫保存了掃描器需要的數(shù)據(jù)。包括,漏洞信息、插件、消除漏洞的步驟、CVE-ID映射(常見的漏洞)、掃描結(jié)果,等等。

4、報告模塊:報告模塊提供了不同的選項,可以生成不同類型的報告。比如,詳細報告、漏洞列表、圖形化報告,等等。

類型

掃描可以分成兩類

外網(wǎng)掃描:有一些設備和資產(chǎn)是暴露在互聯(lián)網(wǎng)的。大部分的機構(gòu)都開放了80或者443端口,這樣人們可以通過互聯(lián)網(wǎng)訪問他們的網(wǎng)站。許多管理員覺得他們實現(xiàn)了邊界防火墻,這樣他們就很安全了。但是,并不總是這樣的。防火墻可以依據(jù)定義的規(guī)則和策略阻止對網(wǎng)絡的非授權(quán)訪問,但是如果攻擊者找到了通過這些端口(比如80或者443)攻擊其它系統(tǒng)的方法,防火墻就不能保護你了,因為利用這些端口,攻擊者就自動繞過了防火墻,進入了你的網(wǎng)絡。

外部掃描是重要的,它檢測那些面向互聯(lián)網(wǎng)的資產(chǎn)的漏洞。攻擊者通過這些漏洞可以訪問內(nèi)網(wǎng)。外部掃描可以通過在互聯(lián)網(wǎng)機器上運行漏洞掃描器來實現(xiàn)。最好在攻擊者利用已公開的安全問題和漏洞之前,就消除它們,

內(nèi)網(wǎng)掃描:并不是所有的攻擊都來自外部網(wǎng)絡。黑客和惡意軟件也可以在內(nèi)網(wǎng)中出現(xiàn)。通過以下方式,就可以訪問內(nèi)網(wǎng):

惡意軟件或者病毒通過互聯(lián)網(wǎng)或者USB下載到網(wǎng)絡中

一個可以訪問內(nèi)網(wǎng)的不滿的員工

外部的黑客獲取了訪問內(nèi)部網(wǎng)絡的權(quán)限

因此,在內(nèi)網(wǎng)里運行漏洞掃描器也同樣重要。在內(nèi)網(wǎng)的一臺機器上運行漏洞掃描器,可以對網(wǎng)絡中的關(guān)鍵組件進行掃描。重要的組件包括核心路由器、交換機、工作站、web服務器、數(shù)據(jù)庫,等等。

多久掃描一次?

每天都有很多新漏洞被發(fā)現(xiàn)。每個新的漏洞都會增加危險。因此,定期掃描資產(chǎn)非常重要。發(fā)現(xiàn)最新的安全問題可以幫助機構(gòu)關(guān)閉安全漏洞,抵御攻擊。

多久執(zhí)行一次漏洞掃描并沒有確定的數(shù)字。根據(jù)機構(gòu)的不同而不同。

掃描的頻率基于以下幾點:

資產(chǎn)的重要性:越重要的資產(chǎn)掃描應該越頻繁,這樣就能打上最新的補丁。

曝光度:識別和掃描那些暴露給大量用戶的組件。這可以是外部和內(nèi)部資產(chǎn)。

變動現(xiàn)存環(huán)境時:對現(xiàn)存環(huán)境的任何修改,增加新的組件和資產(chǎn)等,都應該進行漏洞掃描。

PCI和漏洞掃描器

支付卡行業(yè)數(shù)據(jù)安全標準PCI DSS(Payment Card Industry Data Security Standard)是一系列保證那些處理、存儲、傳遞信用卡信息的企業(yè)的環(huán)境安全的必要條件。PCI SSC(Payment Card Industry Security Standard Council)是在2006年9月7日發(fā)起的,旨在改善交易過程的安全狀況。PCI DSS要求所有接受信用卡的廠商執(zhí)行定期的漏洞掃描,發(fā)現(xiàn)他們商業(yè)網(wǎng)絡和應用程序中潛在的安全問題。

根據(jù)PCI DSS Requirement and Security Assessment Procedures document/documents/PCI_DSS_v3-2.pdf文檔

11.2 最少一季度運行一次內(nèi)部和外部網(wǎng)絡漏洞掃描,在一些重大變化之后也掃描一次(比如安裝了新的系統(tǒng)組件,改變了網(wǎng)絡拓撲,修改了防火墻規(guī)則,設計了產(chǎn)品)。

外網(wǎng)掃描:PCI要求對所有的外網(wǎng)IP地址都要進行漏洞掃描??梢栽跈C構(gòu)網(wǎng)絡的外面進行掃描。掃描必須由PCI SSC認證過的掃描供應商來(ASV)實施。

內(nèi)網(wǎng)掃描:PCI要求對內(nèi)網(wǎng)中保存卡的數(shù)據(jù)的組件進行漏洞掃描。這可以從內(nèi)部的角度發(fā)現(xiàn)存在的安全問題,識別出攻擊者在獲取內(nèi)網(wǎng)訪問權(quán)限后能夠利用的脆弱點。內(nèi)網(wǎng)掃描必須由有資格的人來實施,不需要ASV。

漏洞掃描器對內(nèi)外網(wǎng)進行自動化地非侵入式掃描,識別出操作系統(tǒng)、設備、應用程序上的漏洞。ASV使用的掃描器包括Qualys和Nessus。我們將在本文后面逐個介紹。掃描器提交的報告中的漏洞必須要修復,才能達到標準。對于外網(wǎng)掃描,所有被評估為“Medium”及以上的漏洞必須要修復。對于內(nèi)網(wǎng)掃描,只有“Critical”和“High”級別的漏洞才必須修復。通過再次運行漏洞掃描器,來確認發(fā)現(xiàn)的漏洞是否已經(jīng)關(guān)閉了。根據(jù)PCI DSS標準,PCI掃描必須每季度進行,大多數(shù)機構(gòu)都會選擇更頻繁的掃描,以發(fā)現(xiàn)最新的安全問題。

免費 vs 收費

并沒有確定的答案來回答使用免費、開源的漏洞掃描器還是商業(yè)掃描器。在互聯(lián)網(wǎng)上可以下載到許多可用的漏洞掃描器。一些是免費的,還有一些是收費的版本。免費版本的工具,比如Burp、Nessus等,在滲透測試常會用到。但是在一些場合,強制使用商業(yè)版。免費版本的漏洞掃描器可以在初步安全掃描時使用,但是他們也有一些限制:

掃描范圍:免費的掃描器在掃描范圍上有限制。在比較高的層級上掃描,不能覆蓋到應用程序的所有部分。

精確性:可能會導致漏報,發(fā)現(xiàn)不了存在的安全問題。與誤報相比,這個更為嚴重。

支持所有的攻擊和輸入載荷:免費的掃描支持的攻擊和輸入載荷與付費版相比要少。付費版的漏洞和載荷數(shù)據(jù)庫會定期更新,能檢查最新的漏洞。

支持詳細的報告:大部分掃描器都支持報告功能,但是免費版的掃描也許不能夠生成包含有請求-響應對、修補方法、補丁下載鏈接等詳細內(nèi)容的報告。

全球知名漏掃

Nessus:Nessus是最流行的漏洞掃描器之一。它可以用于認證和非認證的漏洞掃描。除了可以進行網(wǎng)絡漏洞掃描外,它還支持外部和內(nèi)部PCI掃描、惡意軟件掃描、移動設備掃描、策略合規(guī)性掃描、web應用程序測試、補丁審計等。它使用超過70,000個插件來掃描一個目標機。

Nessus有兩個版本,免費版本和專業(yè)版本。免費版有一些限制,它不能用于專業(yè)的環(huán)境中(比如工作中),較少的插件等等。

可以在這里下載用戶手冊

可以在這里下載Nessus掃描器

OpenVAS:Open Vulnerability Assessment System (OpenVAS)是由若干服務和工具組成的框架,提供全面而強大的漏洞掃描和漏洞管理功能。它是開源的,可以免費使用。它有一個客戶端-服務器架構(gòu)的web接口。server組件用來調(diào)度掃描任務和管理插件,client組件用于配置掃描和查看報告。

包含如下特點:

支持插件定制:OpenVAS掃描器支持定制插件,用戶可以使用Nessus Attack Scripting Language (NASL)編寫插件。

認證掃描:在認證掃描時,用戶提供目標機的登錄憑證,掃描器可以登錄,并掃描主機上安裝的組件的漏洞(Adobe reader、Wireshark等)

導出報告:OpenVAS有多個選項來導出報告。用戶可以以HTML、XML、TXT和PDF的格式生成和下載報告。

端口掃描:OpenVAS有多個選項進行端口掃描。包括TCP scan, SYN scan, IKE-scan,來定位IPSec, VPN等.

安全檢查:OpenVAS支持安全地掃描。在這個模式下,scanner會依據(jù)遠程主機的banner來發(fā)送載荷,而不是發(fā)送所有的載荷。這個選項對于重要的和陳舊的主機很有用,可以防止在掃描時崩潰。

可以在這里下載到OpenVAS

在Kali LInux上設置和運行OpenVAS的教程。

QualysGuard:QualysGuard是一個Saas(Software as a Service)的私有云??梢允褂没趙eb的用戶界面登錄,能在任何地方使用這個服務。工具包括網(wǎng)絡發(fā)現(xiàn)、資產(chǎn)映射、漏洞檢查、報告、修復跟蹤。Qualys appliances通過與云上的系統(tǒng)通信來進行內(nèi)網(wǎng)掃描。

Qualys申購包可以在這里找到。

一旦申購確認后,可以通過WEB入口訪問云上的服務,web入口在這里

Burp Suite:Burp Suit是一個基于Java的工具,用來執(zhí)行web應用程序安全測試。單個平臺中集成了測試過程中需要的不同的工具。具有免費和商業(yè)兩個版本。Burp Suit的免費版本有如下功能:

一個攔截式代理,作為一個代理服務器可以分析和修改后臺的請求和響應。

Burp Spider能夠爬取目標程序的頁面和鏈接。

Burp Repeater用于多次操縱和發(fā)送請求。

Burp Sequencer用來分析session token的隨機性和強度。

Burp Intruder執(zhí)行可定制的自動化攻擊,尋找和利用漏洞。

在專業(yè)版中有一些特有的功能,包括:

一個高級的web應用程序掃描器,檢測web應用程序里的漏洞。

Burp Extension讓你編寫自己的插件,使用Burp執(zhí)行復雜和定制的任務

可以保存當前狀態(tài),并在以后用它。

生成掃描報告。

這里有視頻教程。

免費和專業(yè)版的Burp Suit可以在這里下載。

OWASP ZAP: OWASP ZAP是一個基于Java的跨平臺開源的web應用程序安全檢查工具。

主要功能包括:

攔截式代理:攔截式代理可以用來手動觀察和處理應用程序和它的參數(shù)。它能攔截發(fā)往服務器的請求,用戶可以操作URL、隱藏的參數(shù)、協(xié)議頭等等,分析應用程序的行為和安全性。同樣,server返回的響應也可以修改。

爬蟲:與Burp Suit相同,ZAP中的spider用來爬取目標應用程序的web頁面和鏈接。額外功能包括支持基于AJAX的爬蟲,應用程序會使用JavaScript生成鏈接。對于基于AJAX的爬蟲有一個單獨的頁面,spider會在那里通過調(diào)用瀏覽器來探索應用程序。

主動和被動掃描:Zap支持主動和被動掃描兩種技術(shù)。在被動掃描時,工具會掃描爬蟲和代理收集到的請求和響應。掃描運行在后臺,因此不會影響真實的測試。在主動掃描時,掃描器會發(fā)送載荷,發(fā)現(xiàn)潛在的漏洞。用戶可以控制主動掃描,根據(jù)掃描程度手動配置掃描器。

可以保存當前的會話,后面再用。

生成掃描報告。ZAP支持HTML報告。

包括端口掃描、模糊測試等功能,支持web Sockets。

這里有用戶指南

可以在這里下載OWASP ZAP工具

Acunetix Web漏洞掃描器:Acunetix web漏洞掃描器是自動化的應用程序安全測試工具。它主要用于掃描web應用程序上的安全問題,比如SQL注入,XSS,目錄遍歷,命令注入等。用戶可以用這個掃描器掃描SANS top 20和OWASP top 10的漏洞。Acunetix有兩個版本,免費和商業(yè)版。免費版試用14天,可以掃描所有漏洞,但是不會顯示確切的位置。你可以掃描acunetix test webiste,http://test.acunetix.com/查看詳細的漏洞掃描樣本。安裝非常簡單。主要的功能包括:

掃描器:Acunetix的主要組件是掃描器。它是完全可定制的掃描器,用戶可以根據(jù)需要配置它。用戶可以在屬性頁定義要檢查的漏洞的類型。掃描的時間基于應用程序的大小和屬性頁的配置情況。

漏洞檢測:除了掃描常規(guī)的web應用程序之外,Acunetix也能掃描基于HTML5/JS技術(shù)的網(wǎng)站。

網(wǎng)站爬蟲:當爬蟲爬取文件和目錄時,我們可以配置要包含和排除的文件的類型。

子域名掃描:Acunetix可以根據(jù)DNS記錄搜索子域名。

調(diào)度器:Acunetix可以制定計劃掃描一個或多個網(wǎng)站。這個功能很有用,用戶可以讓它在晚上或者周末掃描。

目標尋找:用戶可以掃描一個子網(wǎng)發(fā)現(xiàn)開放80或443等端口的web服務。

HTTP編輯器:可以用這個工具定制請求和響應來分析特定的漏洞。它可以編碼和解碼參數(shù)的值。它也可以用于修改request參數(shù),比如URL、Cookie、request數(shù)據(jù)等。

在這里有用戶手冊。

可以在這里下載到Acunetix web漏洞掃描器的試用版。

NetSparker:Netspark也是一個web應用程序安全掃描器,可以檢測和利用漏洞。這個掃描器特有的一個功能是,內(nèi)部確認引擎可以通過漏洞利用或者以其它方式測試,來減少誤報。如何掃描器可以利用這個安全問題,那么它就會在報告的“Confirmed”區(qū)域中列出來。它有三個版本,社區(qū)版、標準版和專業(yè)版。社區(qū)版是免費試用的產(chǎn)品。標準版限制我們只能掃描三個網(wǎng)站。專業(yè)版不限制掃描的網(wǎng)站,價格和比較表在這里。

特點包括:

易于使用:我們只需要提供網(wǎng)站的URL就可以開始掃描。更高級的選項是,用戶可以使用登錄宏去記錄登錄的序列,掃描器就可以在掃描時登錄應用程序。當用戶選擇了這個選項,掃描器會打開一個選項卡,那里記錄用戶的憑證和登錄序列。在同樣的配置區(qū)域,我們可以配置掃描的范圍和要掃描的漏洞。

爬蟲:掃描器有一個高級爬蟲,用戶可以爬取連接,并同時發(fā)起攻擊。

精確性:正如上面提到的,掃描器的一個特點是內(nèi)部確認引擎。掃描器可以通過它減少誤報。掃描器對報告的漏洞進行安全地利用,如果利用成功,就把這個漏洞標記為已確認。

報告:Netsparker支持多種格式的報告,包括詳細掃描報告、遵從PCI的報告、OWASP top 10報告等。

這里是用戶手冊。

在這里下載免費版本。

在這里下載標準版和專業(yè)版。

總結(jié)

漏洞掃描很快,能夠節(jié)省你的時間,但是我們不能完全依賴他們。沒有一個單獨的工具能夠發(fā)現(xiàn)網(wǎng)絡或web應用程序中所有的漏洞。如何可以的話,使用多個自動化掃描工具來減少誤報和漏報的概率。web漏洞掃描器不能發(fā)現(xiàn)應用程序中與業(yè)務邏輯相關(guān)的問題。這些漏洞很嚴重,而且需要手工辦法來發(fā)現(xiàn)。最好的辦法是漏洞掃描器和手動測試結(jié)合起來。

如果你只拿到掃描器給出的安全問題列表,而不對它做任何工作,這是沒有意義的。而且,應該由那些能夠配置掃描器、理解掃描結(jié)果、明白風險和修復技術(shù)的安全工程師來實施掃描。

*文章來源: infosec,F(xiàn)B小編felix編譯,轉(zhuǎn)載請注明來自FreeBuf黑客與極客(FreeBuf.COM)

鏈接已復制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號