51Testing软件测试论坛

标题: 求教Acunetix_WVS中AcuSensor如何使用 [打印本页]

作者: wh900322 时间: 2015-3-18 10:12
标题: 求教Acunetix_WVS中AcuSensor如何使用
求教Acunetix_WVS中AcuSensor如何使用，感激不尽！

作者: 土土的豆豆 时间: 2015-3-18 13:37
AcuSensor技术介绍
Acunetix AcuSensor技术是一种新的安全技术，比传统的Web应用程序扫描，可以识别更多的漏洞，并且较少很多误报。此外，它完全可以将安全问题定位到具体的代码中，甚至提供一些调试信息。

实现这么精准的漏洞发现，是通过在源代码中放置传感器，结合传感器的反馈及黑盒扫描来实现。黑盒扫描无法知道WEB应用程序的准确反馈，而源代码静态分析无法获知应用程序在被攻击时的反应行为。因此，将这些技术结合在一起，将会得到比单纯使用黑盒扫描或者源代码分析更精准的安全结果。

AcuSensor技术不需要获取.NET源代码，它可以在已编译的.NET应用程序中注入使用！因此，在没有需要安装编译器或没有Web应用程序的源代码的情况下，同样可以使用该项技术。当WEB程序使用第三方.NET应用程序时，不需要源代码即可是一个非常巨大的优势。在PHP Web应用程序的情况下，源已经可用。

至目前为止， Acunetix采用的这项技术是网络漏洞扫描器中占据领先地位的。

使用AcuSensor代理技术的优势：
能够提供有关某个安全漏洞的更多信息，例如：源代码行数，堆栈跟踪，受影响的SQL查询。利用这些信息，能够更快定位及修补安全漏洞。

因为可以深入网站内容应用程序，但了解WEB应用程序的各种行为后，可以显著的降低误报。

能够告知WEB应用程序的配置问题，这些配置问题可以导致应用程序易受攻击或者泄露应用程序的敏感信息。例如，如果在.NET中，已经启用“custom errors”，可以导致应用程序的一些调试信息等详细错误信息泄露给攻击者。

能搞提供Web应用程序和Web服务器的安全设置建议，例如，它可以告诉你在Web服务器上是否启用“写访问”。

检测SQL注入的更多漏洞信息。以往的SQL注入漏洞，之可以通过数据库报错，或其他常见的技术来发现。

可以检测所有的SQL语句，包括SQL INSERT语句。这是黑盒扫描所不能发现的。

能够了解及访问目前Web服务器的所有文件。如果攻击者在网站的应用程序目录中创建一个后门文件，当使用AcuSensor技术进行扫描，可以发现该后门文件，并提醒你。

AcuSensor技术是能够拦截所有Web应用程序的输入，并测试其所有可能的输入。

无需编写URL重定向规则，扫描Web应用程序时，使用搜索引擎友好的URL的URL重写规则！使用AcuSensor的技术，能够重写运行中的SEO URL。

能够检测任意文件创建和删除漏洞。例如可以检测，通过有漏洞的脚本，恶意用户可以在Web应用程序目录下创建一个文件，并执行它获得特权访问，或删除敏感的Web应用程序文件。

能够检测电子邮件注射。例如可以检测恶意用户附加的额外信息，如一个收件人列表或附加到邮件正文中的Web表单信息，垃圾邮件，大量匿名的收件人。

AcuSensor技术漏洞报告
不像其他典型的扫描发现的漏洞，漏洞报告AcuSensor技术包含更详细的信息。它可以包含详细信息，如源代码行数，POST变量的值，堆栈跟踪，受影响的SQL查询等由AcuSensor的技术报告的漏洞，将标有“ （ AS ） ”的称号。

安装AcuSensor代理：
注意：AcuSensor代理的安装是可选的。未安装 AcuSensor的Acunetix WVS仍然是最好的一个“黑盒”的扫描器。 AcuSensor代理可以提高更加精准的脆弱性扫描结果，尤其是当用于扫描PHP网站时。

AcuSensor代理安装文件，必须首先在WVS中生成，然后部署到目标服务器。

一、生成AcuSensor文件：

1。在WVS左侧导航栏，到“配置”>“设置”工具资源管理器中的节点。点击AcuSensor部署节点。

2。输入密码或点击挂锁图标随机产生独特AcuSensor的文件密码。。

3。指定AcuSensor文件所在的路径。

4 。此外，您还可以选择生成一个PHP的网站的文件，或两者兼而有之. NET网站可供选择。 AcuSensor文件默认情况下，将产生两个PHP和.NET 。

5 。点击AcuSensor生成安装文件和AcuSensor生成的文件会自动打开一个浏览器窗口。

安装AcuSensor（.NET）
1。找到AcuSensor网站AcuSensor将被注入安装文件。复制SETUP.EXT到器托管的目标网站的主机。

2。安装先决条件： AcuSensor代理的应用程序需要Microsoft。NET框架3.5 。在Windows 2008中，您还必须安装IIS 6元数据库兼容性，从“控制面板” > “打开Windows功能打开或关闭>角色> Web服务器（IIS ） >管理工具> IIS 6管理兼容性IIS 6元数据库兼容性能够上市NET应用程序在服务器上运行。

1。双击Setup.exe安装Acunetix AcuSensor指定安装路径。该应用程序将自动启动，一旦安装就绪。如果应用程序没有设置为自动启动，从程序组菜单点击Acunetix NET AcuSensor代理。

2。 Acunetix AcuSensor代理启动，将检索.NET应用程序安装在服务器上的列表。选择你想注入AcuSensor技术，并从下拉菜单中选择Framework版本的应用程序。点击注入，注入选定AcuSensor技术选择。 NET应用程序中的代码。文件一旦注入，关闭确认窗口。

注： AcuSensor代理将尝试自动检测。 NET framework版本，用于开发Web应用程序，所以您不必手动指定目标运行时的下拉菜单中使用的框架版本。

为PHP安装AcuSensor剂的
如果你的web应用是用PHP写的：

1。找到AcuSensor您要安装PHP AcuSensor文件的网站。复制acu_phpaspect.php的文件到远程Web服务器托管的Web应用程序目录。保证AcuSensor代理文件应该在的位置可以由Web服务器软件访问。 Acunetix AcuSensor技术PHP版本5或更高版本。以前的PHP版本不支持。

2。您可以使用2种不同方法，以激活传感器：方法1，AcuSensor仅在Apache安装可以使用，方法2可用于AcuSensor安装Apache和IIS的。这两种方法的解释如下。

方法1： htaccess文件的Apache。
的网站目录中创建。htaccess文件，并添加以下指令： php_value的auto_prepend_file [路径到acu_phpaspect.php文件] 。

注：对于Windows使用’ C：\传感器\ acu_phpaspect.php的Linux使用’/的传感器/ acu_phpaspect.php ‘路径声明格式。如果Apache不执行。htaccess文件，它必须被配置为这样做。参考以下配置指南： http://httpd.apache.org/docs/2.0/howto/htaccess.html 。上面的指令，也可以配置在httpd.conf文件中。

方法2： IIS和Apache的php.ini
1。 php.ini中找到文件’在服务器上使用phpinfo（）函数。

2。搜索指令的auto_prepend_file ，指定的路径到acu_phpaspect.php文件。如果指令不存在，它添加在php.ini文件中的auto_prepend_file = “ [路径到acu_phpaspect.php文件]” 。

3。保存所有更改并重新启动Web服务器上述变动生效。

测试你的AcuSensor代理
如果要测试AcuSensor目标网站上正常工作：

1。在“工具”资源管理器中，导航到“配置”>“扫描设置”节点，并选择AcuSensor节点。

2。输入密码的的AcuSensor剂文件被复制到目标网站。

3。点击测试AcuSensor上安装一个特定的URL 。一个对话框，会提示你提交AcuSensor代理安装文件的目标网站的URL 。输入所需的网址，然后点击“确定” 。

注意：每次更改密码AcuSensor科技代理文件生成， AcuSensor科技代理服务器上的文件，必须更新。在。NET下，你必须取消注入的文件和卸载Acunetix AcuSensor喷油器从目标服务器，然后复制新的为它重新安装在目标系统上的setup.exe 。重新注入的文件。 NET ，或用新的覆盖旧的acu_phpaspect.php为PHP 。

禁用和卸载AcuSensor
要卸载和禁用传感器：

AcuSensor 。

1。运行Acunetix NET AcuSensor代理从程序组中，选择已注入的代码。点击删除AcuSensor技术代码Uninject选择。NET应用程序。成功确认，关闭确认窗口和Acunetix NET AcuSensor科技注射器。

2。从应用程序的安装目录中运行UNINSTALL.EXE 。

注：如果您没有未注入。 NET应用程序卸载Acunetix .NET AcuSensor代理，然后AcuSensor不会删除.NET应用程序。

PHP AcuSensor
1。删除指令： php_value的auto_prepend_file = “ [路径到acu_phpaspect.php文件] ” 。htaccess文件或从“ httpd.conf中的配置，如果方法1正在使用。如果正在使用方法2 ，删除指令的auto_prepend_file =“ [路径到acu_phpaspect.php文件] ”在php.ini文件。

2。删除“ Acunetix AcuSensor科技PHP文件; acu_phpaspect.php 。

注：虽然Acunetix AcuSensor工艺的需要验证，如果他们不再使用ACU,务必要卸载/删除服务器中的AcuSensor客户端文件。

有空多看看帮助文件和工具的介绍资料先~

作者: 用户名啊 时间: 2015-3-25 13:52
我在服务器上装了AcuSensor，但是在检测的时候检测不到

欢迎光临 51Testing软件测试论坛 (http://bbs.51testing.com/)