对主流扫描工具漏洞检测能力的 测试与分析 索亮 【摘要】目前商业市场上的Ｗｅｂ应用安全扫描工具，它们的检测漏洞能力尽管在伯仲之间．但它们都有各自的优势和侧重， 对于广大用户而言，在选用Ｗｅｂ应用安全扫描工具产品上，就要结合系统的需求特征选择不同特性的ｗｅｂ应用安全扫描 工具产品．实现对漏洞的检测和对症下药。 【关键词】ｗｅｂ应用工具；安全扫描：检测漏洞 一．综述 （ＡｐｐＳｃａｎ）ｌ Ａｃｃｅｓｓ（ｗＶｓ自带）。 面对风起云涌的Ｗｅｂ应用扫描工具市场，产品的能 力也是参差不齐，有些软件可以针对个别网站检测出注入 和跨站，并且罗列大量的变种和错误信息，就号称是全面 的应用系统扫描工具。为了展示Ｗｅｂ应用扫描工具的 真实实力，这次我从商业市场上选择了三款市场占有率最 高的Ｗｅｂ应用扫描工具： ＩＢＭ Ｒａｔｉｏｎａｌ ＡｐｐＳｃａｎ、 Ａｃｕｎｅｔｉｘ Ｗｅｂ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃａｎｎｅｒ 和ＳｅｃＤｏｍａｍ 测试目标： 说明：目标网站分别为三款软件所属的公司公布测试 网站，另一个是我一个朋友的网站，这样应该相对公平。 ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｍ ｄｅｍｏ．ｔｅｓｔｆｉｒｅ．ｎｅｔ ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｃｏｒｎ 综合网站。 ＷｅｂＲａｖｏｒ。当然，我无法选择所有的应用扫描工具进行 测试方法： 三款软件使用默认的设置，在未登录的情况下对４ 个站点分别进行检测，对扫描到的弱点进行验证并得出 准确率。 测试，如ＨＰ Ｗｅｂｌｎｓｐｅｃｔ，并不是没有测试就说明产品的 能力存在问题，Ｗｅｂｌｎｓｐｅｃｔ比起其余没有测试的同类产 品，能力还是高出很多。 本次测试是三款Ｗｅｂ应用系统扫描工具的功能和性 能进行测试，为了保证测试的公平性，使用同样的机器配 置和系统环境，每完成一个软件测试都会对机器进行重 启，力图得到一个真实的测试结果。 漏报率的统计按照３款软件都具有的策略进行统计， 如３款软件都有ＳＱＬ注入策略，对ＳＱＬ注入的漏报率进 行统计。 二．功能比较 ２．１功能分析 此次测试首先对三款软件的功能进行了比较。从功能 测试对象： ＩＢＭ Ｒａｔｉｏｎａｌ ＡｐｐＳｃａｎ Ｖｅｒｓｉｏｎ ７．８．０．８３１ （以下 简称：ＡｐｐＳｃａｎ） Ａｃｕｎｅｔｉｘ Ｗｅｂ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃａｎｎｅｒ Ｖｅｒｓｉｏｎ ６．５ 上看，三款软件各具特色，我们选出具有代表性的功能进 行分析。 ＨＴＴＰＳ Ｂｕｉｌｄ ２０１００２１０（以下简称：ｗＶＳ） ＳｅｃＤｏｍａｍ ＷｅｂＲａｖｏｒ Ｕｌｔｒａ Ｅｄｉｔｉｏｎ ＶｅｒｓｉＯｎ ４．５０ 三款软件都支持对ＳＳＬ协议的应用系统进行扫描。 但ＷｅｂＲａｖｏｒ支持ＳＳＬ转发功能，可以从本地实现代 理，抓获未加密的数据包的内容，对发送包里的参数进行 检查。 Ｂｕｉｌｄ ２８９９ （以下简称：ＷｅｂＲａｖｏｒ） 测试环境： 处理器：２．００ＧＨｚ；内存：２Ｇｌ硬盘：１００Ｇｌ操作系 统：Ｗｉｎｄｏｗｓ ２００３１支持环境：．ｎｅｔ Ｆｒａｍｅｗｏｒｋ ３．５ ・多任务 １２０・２０１０．０８・信息安全与技术 ＡｐｐＳｃａｎ和ＷＶＳ每个项目只能开启一个任务进行扫 描，同时开启多个项目后资源占用很严重。ＷｅｂＲａｖｏｒ可 ＡｐｐＳｃａｎ提供了手动探索功能，该功能只能在一个 任务开始前和开始后才能启用 ｗＶｓ没有此项功能ｔ 以同时发起多个任务进行扫描，资ｊ 控制相对较好。 计划任务 计划任务提高了软件的自动化程度，降低了工作人员 的管理成本。ＡｐｐＳｃａｎ测试的这个版本没有提供计划任 务。ＷＶｓ和ＷｅｂＲａｖｏｒ提供了计划任务，提高了产品的 易用性。 ＷｅｂＲａｖｏｒ也提供了此项功能，在扫描的任何时候都可以 开启和关闭此功能。 复杂的应用系统 对于复杂的ＥＲＰ系统和Ｃ／Ｓ架构的应用系统， ＡｐｐＳｃａｎ和ｗＶｓ无法支持，而ＷｅｂＲａｖｏｒ能够支持各类 应用系统。 被动扫描 更多功能的比较详细清单参照下图： 产品 ＩＢＭ Ｒ ａｔｉ Ｏｎａｌ Ａ ｃ Ｕ ｎ ｅ ｔ ｉ Ｘ Ｗ ｅ ｂ ＷｅｂＲａｖｏｒ ４．５ Ａ Ｐ Ｐ Ｓ Ｃ ａ ｎ Ｖｕｌｎｅｒａｂｉ Ｉｉｔｙ Ｓｃａｎｎｅｒ ６．５ ７ ８ Ｏ．８３１ ＤｅｔａｉＩ 公司 平台 旧Ｍ Ａｃｕｎｅｔｉｘ 在２００６年ＢｌａｃｋＨａｔ和Ｄｅｆ－Ｃｏｎ发布．被评价为商业市场上最 好的Ｗｅｂ安全扫描工具。 北京安域领创科技有限公司 全内资公司．１Ｏｏ％版权和源代 （Ｃｈｉｎａ） 码。 Ｗｉｎｄｏｗｓ ２０ＯＯ Ｗｉｎｄｏｗｓ ２０００及以上 Ｗｉｎｄｏｗｓ ２０００及以上 及以上＋ ＮＥＴ Ｆｒａｍｅｗｏｒｋ 开发语言 无需．ＮＥＴ和任何数据库支持， 安装简便。 运行环境（推 ２．４Ｇ／１ Ｇ／１ ＯＧ ２ ０Ｇ／１Ｇ／５Ｇ ＨＤ Ｆｒｅｅ ２ ４Ｇ／２Ｇ／１ ０Ｇ ＨＤ Ｆｒｅｅ Ｓｐａｃｅ 荐） ＨＤ Ｆｒｅｅ Ｓｐａｃｅ Ｓｐａｃｅ 检测项目 ＨＴＴＰＳ支持 ＹＥＳ ＹＥＳ ＨＴＴＰＳ证书支 ＹＥＳ ＹＥＳ ．ＮＥＴ 未知 ＭＦＣ ＹＥＳ ＹＥＳ Ｎ０ ＹＥＳ 本地主机对ＳＳＬ进行转发。 任何时候都可以开始新的任 持 ＳＳＬ转发 ＮＯ 多任务（同时 ＮＯ ＮＯ ＮＯ 扫描不同应 用） 使用计划任务 不能批量扫描 及批量扫描 全域扫描 Ｎｏ 自动扫描 单一域名／ＩＰ 半自动扫描 ＹＥＳ ＹＥＳ ＮＯ 单一域名／ＩＰ ＮＯ 务，不必等待，并且提供“任务 管理器”．可任意进行调度和管 理。 ＹＥＳ ＹＥＳ 单一域名／多域名／ＩＰ ＹＥＳ 支持定时扫描．及批量导入域 名进行扫描。 对网站的整个域进行扫描。 半自动扫描常用于ＥＲＰ用户 交互性比较高的系统．用户按 照正常的工作模式进行操作． ＷｅｂＲａｖｏｒ可自动检测出弱点。 对访问的网页．ＷｅｂＲａｖｏｒ可以 自动进行扫描 主动对网站检测的同时，对访 司页面进行被动扫描。 提供交互式测试平台，测试结 被动扫描 混合扫描 ＹＥＳ ＮＯ ＮＯ ＮＯ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ 交互性测试 ＹＥＳ 果直接．例如修改后的结果直 接在浏览器中得到显示．常用 于复杂的ＸＳＳ和其它安全项目 检测。 信息安全与技术－２０１０．０８・１２１・ ｃ／ｓ结构的应 ＮＯ 用的漏洞检测 断点续扫 ＹＥＳ ＮＯ ＹＥＳ 可以提供任何基于ｈｔｔｐ或者 ｈｔｔｐｓ协议的扫描．不管是Ｂ／Ｓ 结构还是Ｃ／Ｓ结构等。 可以从中断位置继续上一次扫 描进程。 由于软件本身或者外部原因造 成的软件崩溃．可以自动重启 并恢复到意外发生前的扫描状 态。 ＹＥＳ ＹＥＳ 异常中断恢复 ＮＯ 扫描 ＮＯ ＹＥＳ 多策略可选 ＹＥＳ ＦＯＲＭ检｛Ｉｎｊｅｃｔｉｏｎ） ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ 测 ＹＥＳ 针对同一个内容的扫描可提供 多种策略选择。 自动分析网页中的表单。 检测登录表单中存在的弱密 码。 ＦＯＲＭ弱口令 ＹＥＳ 检测 ＵＲＬ重定向 ＹＥＳ 代理服务器 单一服务器 线程控制 ＮＯ ＮＯ ＮＯ 多个服务器轮询 ＹＥＳ 使用代理服务器对目标进行扫 描。 对扫描任务的线程进行控制． 控制扫描对服务器产生的影 响。 提供应用后台数据库的配置信 息，某些数据库可以获得数据 库用户和密码．并且对密码进 行强度检测。 可以进行渗透性测试．测试方 法可自行设计。 任何功能都可以自行扩展 无 需改动原代码．无需编程知识。 数据库基线审 Ｎ０ 计 Ｎ０ ＹＥＳ 渗透测试框架 ＮＯ 策略扩展性 ＹＥＳ ＣＧｌ Ｓｃａｎ ＹＥＳ ＮＯ ＮＯ ＹＥＳ ＹＥＳ 可以扩展功能 ＹＥＳ 重夏贝回越撼 扫描开始前手工 ＮＯ 自动／手工《任何时候） 对于大型的网站．可以自动过 滤掉大量重复、类似的页面，节 约扫描时间。 任 所伺 鳅 ＹＥＳ ＹＥＳ ＹＥＳ ＳＱＬ注入 式检测 ＹＥＳ ＹＥＳ ＹＥＳ Ｃｏｏｋｉｅ注入方 ＮＯ ＮＯ ＹＥＳ 独有方式。 支持字符变形 ＮＯ Ｊａｖａｓｃｒｉｐｔ页面 ＹＥＳ 爬行 Ｎ０ ＹＥＳ ＮＯ ＹＥＳ ＹＥＳ 可以绕讨某 美锤字检测系统 支持从Ｊａｖａｓｃｒｉｐｔ中提取ＵＲＬ。 数据库类型识 ＮＯ 别 ＭＳＳＱＬ／ＡＣＣＥＳＳ／ＭＹＳＱＬ／ 能自动识别应用系统后台的数 ＯＲＡＣＬＥ／ＤＢ２／ＩＮＦＯＲＭＩＸ／ 据库．并且自动读出数据库名 ＳＹＢＡＳＥ／ＰｏｓｔｇｒｅＳＱＬ／Ｉｎｇｒｅｓ／ 称和用户名称．以用于证实弱 ＦｉｒｅＢｉｒｄ 点的存在，防止抵赖。 ＭＳＳＱＬ／ＡＣＣＥＳＳ／ＭＹＳＱＬ／ ＯＲＡＣＬＥ／ＤＢ２／ＩＮＦＯＲＭＩＸ／ ＳＹＢＡＳＥ／ＰｏｓｔｇｒｅＳＱＬ／Ｉｎｇｒｅｓ／ ＦｉｒｅＢｉｒｄ 特定数据库漏 Ｎ／Ａ 洞挖掘 Ｎ／Ａ 数据库结构和 ＮＯ 内容获取 ＮＯ ＭＳＳＱＬ／ＡＣＣＥＳＳ／ＭＹＳＱＬ／ 可以获取整个用户表结构和里 ０ＲＡＣＬＥ／ＤＢ２／ＩＮＦＯＲＭＩＸ／ 面的内容，还可以进行智能查 ＳＹＢＡＳＥ／ＰｏｓｔｇｒｅＳＱＬ／Ｉｎｇｒｅｓ／ 找。 Ｆｉｆｅｂｉｒｄ 定位注入参数 ＹＥＳ ＸＳＳ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ ＹＥＳ 目录访问 ＹＥＳ ＹＥＳ ＹＥＳ ・１２２・２０１０．０８・信息安全与技术 敏感文件检测 ＹＥＳ 隐藏目录扫描 ＹＥＳ 网页木马检测 ＮＯ ＹＥＳ ＹＥＳ ＮＯ ＹＥＳ ＹＥＳ／可扩展 ＹＥＳ／可扩展 复杂（ＥＲＰ） 应用 ＮＯ ＯｎＩｉｎｅ ＸＭＬ ＮＯ ＯｎＩｉｎｅ ＸＭＬ．ＡＶＤＬ ＹＥＳ ０ｎｌｉｎｅ ＣＳＶ ＸＭＬ 可以自动扩展敏感目录的类型 可以自行设定新的网页木马特 征标志。 例如：网银、在线电子商务等 升级形式 数据导出 任何数据都可以通过ＣＳＶ格式 导出．以方便产生ＥＸＣＥＬ表格 （中文 英文）。 报告格式 ＰＤＦ、ＨＴＭＬ、ＲＴＦ ＰＤＦ、ＨＴＭＬ、ＴＥＸＴ、ＷＯＲＤ ＰＤＦ、ＸＭＬ、ＨＴＭＬ、ＭＨＴ、ＤＯＣ 报告模板定义 ＹＥＳ ＹＥＳ ＹＥＳ 可以使用图形化工具自行设计 系统资源调控 Ｎ０ 支持语言 ＮＯ ＹＥＳ 英文／简体中文 报告版式。 设置产品自身占用的系统资 源。 英文／简体中 英文 文 根据操作系统自动选择语言。 ２．２功能总结 在对应用系统类型的支持上，三款产品都支持ＨＴＴＰ 和ＨＴＴＰＳ协议的应用系统，但是对于复杂的ＥＲＰ系统， ＡＰＰＳＣＡＮ和ＷＶＳ不能够支持，只有ＷｅｂＲａｖｏｒ能够 支持。 三款产品都具备了应用系统评估工具的基本功能： ３．１测试时间 ３．２结果统计 统计的基础规则： 爬行和检测。ｗＶｓ过于依赖自己的爬行和检测的能力， 不允许按ｗｅｂ应用系统操作流程的方式进行手动测试， 不允许策略扩展，这对于千变万化的应用系统是致命的 ｗＶｓ的统计包括了所有的变种，我在统计的过程中去 除变种的数字，按照出现漏洞的参数进行统计，这样我认 为是比较科学的ＷＥＢ应用弱点统计的方法。 准确率的统计分两种方法： １．按照每个产品发现的弱点进行验证，如Ａ工具的弱 弱点。ＡｐｐＳｃａｎ和ＷｅｂＲａｖｏｒ允许手动测试和策略的 扩展，ＷｅｂＲａｖｏｒ的手动测试更易用，在扫描过程中就 可以使用，而ＡｐｐＳｃａｎ是在扫描开始前或结束后采用访 问记录的方式对记录的页面进行检测。 数据库审计和渗透测试是ＷｅｂＲａｖｏｒ独有的功能， 通过ＳＱＬ注入点对数据库进行审计，获取数据库信息和 提供渗透测试框架，从而证明应用系统漏洞的危害性。 ＡｐｐＳｃａｎ和ｗＶＳ在ＳＱＬ注入的验证上还存在不足，不能 证明弱点是否对应用系统造成的危害。 综上所述，从软件的功能上来看，在对更多更复杂的应 点为Ａｌ、Ａ２、Ａ３，对Ａ１、Ａ２、Ａ３的弱点进行验证，验证出 的真实弱点／总弱点数＝准确率，工具Ｂ同样采取此方法。 ２．对具有相同弱点名称的弱点，如３个工具都具有检 测ＳＱＬ注入的策略，则对发现ＳＱＬ注入的准确率进行统计。 ３．２．１ ＡｐｐＳｃａｎ弱点统计与分析（见表１） ３．２．１．１整体状况 ＡｐｐＳｃａｎ的弱点列表中存在“参考消息”，是电子邮件 地址、敏感信息和Ｗｅｂ应用系统产生错误时的敏感信息， 用系统的检测能力上，ＷｅｂＲａｖｏｒ更胜一筹，并且能够对弱 点的危害进行验证。ＡｐｐＳｃａｎ在对ＥＲＰ系统的支持上不 能够令人满意， 而ＷＶＳ没有提供任何的扩展功能，一旦 遇到应用程序无法识别的状况，该软件则无法使用。从功能 无法判断准确与否，所以不在统计范围内。 通过统计可以看出，ＡｐｐＳｃａｎ还存在一定的误报，需 要人工对弱点进行验证，因此，使用者也需要具备一定的 渗透测试基础。 ３．２．１．２ ＡｐｐＳｃａｎ结果分析 通过依次对ＡｐｐＳｃａｎ在测试过程中发现的弱点的高、 信息安全与技术・２０１０．０８・１２３・ 上综合分析，ＷｅｂＲａｖｏｒ最强，ＡｐｐＳｃａｎ稍弱，ｗＶｓ其次。 三．结果分析 表１ 、＼ ＼ 立口 。 ＡｐｐＳｃａｎ 测试站点’＼ 、＼ 高 由 低 注入３个 数据库错误模式 目录列表２个，框架 ｍｕｌｉｔｉｖｉｅｗｓ攻击６个．ＰＨＰＩＮＦＯ信息泄 ｔｅｓｔｐｈｐ ａｃｕｎｅｔｉｘ ｃｏｍ ４个 跨站４个，合计１１个： 钓鱼６个，合计８个； 漏１个，Ｊｓ引用ＣＯＯＫＩＥ１个．ＴＲＡＣＥ １１／１４＝７８．５％。 ８／８＝１ ００％。 和ＴＲＡＣＫ ＨＴＴＰ方法１个，合计９个； ９／１ １＝８１．８％。 数据库错误模式３个，跨站 链接注入２个，目录 注释敏感信息泄漏１个，服务器路径泄漏 ｄｅｍｏ ｔｅｓｔｆｉ ｒｅ．ｎｅｔ ３个（１个误报），合计６个； 列表１个．合计３个； １个．敏感文件１个．测试脚本１，ａｓｐ．ｎｅｔ ６／１ ０＝６Ｏ％。 ３／３＝１ Ｏ０ｌ％。 调试３个：７／７＝１∞％ 跨站３个．合计３个； 链接注入１个，通过框 ｃａｌ２．ｊｓｐ跨站１个，ＨＴＭＬ注释敏感信息泄 ３／４＝７ＥＩ％。 ｄｅｍｏ．ｗｅｂｒａｖｏｒ ｃｏｒｎ 架钓鱼１个．合计２个； 漏３个，源代码泄漏模式３８个，路径泄漏 ２／５４＝３．７％。 模式６个．测试脚本１个．ｊｓ ｃｏｏｋｉｅ引用 ３个，未授权的ｊａｖａ Ｓｅｒｖｌｅｔ源代码访问１ 个，合计５３个；５３／５３＝１Ｏ０％。 ＰＵＴ方法４个．ＳＱＬ注入 响应分割１个，目录列 注释敏感信息３个，测试脚本１个， １个．文件参数变更１个． 表１个，启用了不安全的 Ｔｒａｃｅ和Ｔｒａｃｋ方法１个．合计５个： ＷＷＷ．ｔａｒｇｅｔ ｃｏｍ Ｉ 发现数据库错误模式１１ ＨＴ１１）方法４个．ＵＲＬ重 ５／７＝７１ ４％。 个跨站３个，合计２Ｏ个； 定向钓鱼１个，已解密的 ．ｌ ｌ ２０／３２＝６２．５％。 登录请求１，合计８个； ８／１１＝７２．７％。 ｕｓｅｒＮａｍｅ测试实例： ＲＩＳＴ—岫 ＾Ｉ●—噜嘲嘲Ｉ ｍ ｉｆｒｌｌＰ￣ｌＩ＇ 中、低等级的策略进行分析。 １．高等级弱点 ＳＱＬ注入的误报依然比较高，ＡｐｐＳｃａｎ无法摆脱设计 的缺陷，无法获取数据库信息作为ＳＱＬ注入弱点的证据， 也无法发现ＣＯＯＫＩＥ编码型的注入。 Ｃ∞ｋＩ．：娼Ｅｓ∞ ■＾１６Ｄ．３１ 恻埘憾∞￡“１＾ｓ１Ｓ阳＾猢 ＣａｎＩ。ｒ－＾— Ｉｌ ５２ ＾‘州： ＾ａ囊一＾＿ ｌ椿ｑ ｌ 一＾ 辅臻 撼 ０（ｃａｎｐａ哺畦 Ｉｓ￡８囊 Ｉ＇３２） Ｉ■Ｉ—ｔ尊辫，静 Ｈ蠕ｒ ＾ 啪融— ＿。０ №自ｂ埘ｌｏ 哪静ｒＩ螂．ｃ “ＳＱＬ注入文件写入”虽然作为弥补ＡｐｐＳｃａｎ在检测 ＳＱＬ注入漏洞上的不足，但是在实际测试中发现该策略均 是误报。 “发现数据库错误模式”的工具描述：ＡｐｐＳｃａｎ在测 Ｗｒｎｐ＾ 椭秣 Ｃ 嘲酣ｔｔ期 脚１１８ Ｓｅｒｍ＇：＾ ｃｔ 《。’删Ｃ啊曩．嘲ｔ－ｌ’■斟ｌ∞ｌ一由ｌ鬟时料秘毫－ Ｂ－慷Ｆｒｔ ２１№ ２９ｔ０’耻 毪１７０哺ｒ ．呻曲呲， ｑ 舻 试响应中发现到“ＳＱＬ注入”以外的攻击所触发的“数据 库错误”。虽然不确定，但这个错误可能表示应用程序有 “ＳＱＬ注入”漏洞。通过描述可以发现该策略是ＳＱＬ注入 检测的一个辅助策略，可以帮助渗透人员进行手工测试。 “跨站点脚本编制”的准确度比较高，但是还存在一定 的误报，误报的原因主要集中在，工具同时提交两个或多 ｛Ｈ蝌ｅ’ｌ６ 盂蕾ｒＩｍｅ， 碓 鸭 ６盂》ｓ１ “蚓 Ｈ州＇７５９唧ｌ舟焖＃抽。押’ ｔ ｒ Ｉ 强差 ３ ｕｓｅｒｉｎｄｅｘ．ｊｓｐ测试实例： ■■■－■●‘＿ ＿划 个参数，前面的参数有跨站漏洞，而后面的参数不确定是 否有跨站漏洞，工具的判断会出现误报。如下图所示： ｕｓｅｒＮａｍｅ参数存在跨站漏洞： ｌ悯＿叫————●●———●——————●蜘 ｌ 篮 。冀 ～ “ ＿ 一 …¨ ’轴 悄 哪 舯 材 “ ｉ； 蟠 幽 — 。ｏ霸豳墨 ◇ｕ §ｒｉｎｄ娃．ｊ譬ｐ ・锄 １２４・２０１０．０８・信息安全与技术 同时对ｕ￣ｒＮａｍｅ和ｐａ￣ｗｏｒｄ参数进行了修改，其实 只是ｕ￣ｒＮａｍｅ存在跨站脚本漏洞，而ｐａ￣ｗｏｒｄ参数并 未出现跨站漏洞。 断该源代码是否有利用价值，软件都不能自动的去判断这 些弱点的危害。 ３．２．２ ＷＶＳ弱点统计与分析（见表２） ３．２．２．１整体状况 ｗＶＳ测试的时间和验证时间最长。ｗＶＳ在测试ＳＱＬ 注入时虽然细分成ＳＱＬ注入、盲注、ＸＰＡＴＨ注入、基于时 间差的注入等策略，但是依然需要手工验证ＳＱＬ注入的真 实性，并且无法检测Ｃｏｏｋｅ编码行的ＳＱＬ注入。ｗＶｓ在 测试过程中未响应一次。ｗＶＳ把每一个弱点的所有变种 都一一测试，导致效率低下。在验证的时候对每个变种进 ｌ聃 … ㈣｛ ｌ 行验证，导致验证时间过长。ｗＶｓ策略中有很多重复的 地方，如目录列表和ＧＨＤＢ的目录列表，结果是一模一样 ２．中等级弱点 “链接注入”从测试的策略看是图片的跨站，测试过程 中未发现误报。 “通过框架钓鱼”是跨站脚本编制漏洞的变形，将原来 的＜Ｅｎｐｔ＞替换成＜ｉｆｒａｍｅ＞。 的；ＰＨＰ无效的数据类型错误信息弱点包含在应用系统错 误信息中，只是发送包的策略不一样。在测试统计中去除 了弱点变种和提示信息。 ３．２．２．２弱点分析 “启用了不安全的ＨＴＴＰ方法”的误报率比较高， “ＵＲＬ重定向钓鱼”、“目录列表”的准确率较高。 低等级弱点一般是敏感信息、源代码泄漏、路径泄漏 等，信息具有参考价值，源代码泄露的危害有多大，需要判 表２ ＼＼＼ １．高等级弱点： ＳＱＬ注人误报很高， 不能获取数据库信息，不能为 ＳＱＬ注入提供证据。 跨站比较准确，包括了ＴＯＭＣＡＴ实例跨站、Ｕ 跨站等。 ＷＶＳ 测试站点、＼ ‘局 一 由 低 跨站７个．注入７个，ＨＴＴＰ 备份文件１个，ＰＨＰ信息 Ｔｒａｃｅ方法１个．服务器版本信息１个， 分割相应１个，ＰＨＰ代码 页面２个，应用系统错误 ＵＲＬ重定向１个，合计３个 ３／５＝６０％。 ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｍ 注入１个，合计１６个； 信息页面８个，ＰＨＰ无效 １ ６／３７＝４３ ２％。 数据类别信息４个．合计 １ ５个；１ ５／２２＝６８ １％。 跨站４个，路径跨越１个． ｃｏｏｋｉｅ操纵Ｔ个．应用系 ａｓｐ．ｎｅｔ调试３个，敏感文件１个．目录泄 ｄｅｍｏ．ｔｅｓｔｆｉ ｒｅ．ｎｅｔ 合计５个；５／８＝６２．５％。 统错误信息３个，合计４ 漏２个，敏感文件未加密１个，合计７个： 个：４／４＝１ｏｏ％ ７／９＝７７．８％ 跨站５个．ＴＯＭＣＡＴ实例跨 ｃｏｏｋｉｅ操纵４个，应用错 敏感文件１个，敏感目录４个．目录列表 ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｔｏｍ 站１个．注入３个．合计９个； 误信息４个，ＰＨＰ无效数 ３８个．合计４３个；４３／８４＝５２．２％。 ９／９＝１ ００％。 据类别信息１个，合计９ 个：９／５２＝１ ７．３％。 跨站３个．注入１个，路径跨 应用程序错误９个．ＰＨＰ ＵＲＬ重定向１个，敏感文件３个．敏感目 越１个，ＵＲＩ跨站１个，合计 数据类型无效的错误信 录３个，ＰＲＯＦＩＮＤ方法开启６个，合计１３ ＷＷＷ．ｔａｒｇｅｔ．ｃｏｒｎ ６个；６／６＝１００％。 息３个．备份文件１个， 个；１３／１ ７＝７６．５％。 目录具有写权限６个．合 计１ ９个；１ ９／２ｏ＝９０％。 信息安全与技术・２０１０．０８・１２５・ ｗＶｓ把Ｈ１ｖｒＰ响应分割归类为高等级弱点， ＡｐｐＳｃａｎ则归类为中等级弱点。 ２．中、低等级弱点： 中、低等级弱点不像ＡｐｐＳｃａｎ和ＷｅｂＲａｖｏｒ那么清 ＳＱＬ注入可以自动获取后台数据库的名称和连接用户 名，证明弱点的真实存在；。 “ＴＯＭＣＡＴ管理端弱密码”可以使用ＴＯＭＣＡＴ的弱 密码登录后台；。 晰，ＵＲＬ重定向，敏感目录这些可以被利用的弱点放在低 等级；错误信息，ＰＨＰ信息页面需要判断信息是否有价值 的弱点放在了中等级。 “Ａｃｃｅｓｓ数据文件泄漏”直接下载格式为ｍｄｂ的数据 库文件。 ２．高等级弱点： ３．２．３ ＷｅｂＲａｏｖｒ弱点统计与分析（见表３） ３．２．３．１整体状况 “跨站脚本攻击”，ＷｅｂＲａｖｏｒ和ｗＶｓ都很准确，只有 ＡｐｐＳｃａｎ存在一定误报；。 “存在弱密码或者可以被绕过”可以直接导致攻击者 绕过身份验证进入到应用系统；。 “ＥｗｅｂＥｄｉｔ０ｒ数据库文件”攻击者可以直接获取数据 库文件；。 ＷｅｂＲａｖｏｒ弱点分类按照危急、高、中、低四种等级进 行分类。ＳＱＬ注入、Ａｃｃｅｓｓ数据文件泄漏等攻击者可以 直接利用或者获取有价值信息的弱点归为危急等级；弱密 码、跨站等需要攻击者进一步操作的弱点放在高等级；后 台管理目录、目录泄漏可以为攻击者入侵提供有价值信息 的弱点为中等级；需要攻击者去判断信息是否有价值的弱 点、需要配合其他弱点共同利用的弱点和对应用系统危害 很低的弱点归为低等级。 ＷｅｂＲａｖｏｒ能够自动从ＳＱＬ注入点获取数据库的名 称和连接用户名，为弱点的存在提供直接的证据，使用起 来很方便。 “服务端信任跨越弱点”被攻击者用于钓鱼。 ３．中等级弱点： “后台管理目录”、“登录页面”可以被攻击者利用，“目 录泄漏”、“备份页面”、“路径跨越”需要对弱点的价值进行 验证。 ３．３ ＳＱＬ注入能力 ４个网站的注入点说明：（见表４） 综合网站的注入点为９个，ＭＳＳＱＬ数据库，数据库名 称：ｓａ｝连接的用户：ｓａ。 表３ 产品 ＷｅｂＲａｖｏｒ ３．２．３．２弱点分析 １．危急弱点： ～＼、＼ 测试站点、、＼ 危急 目 由 ＳＱＬ注入７个，合计７个 跨站７个．合计７个； 登录页面１个，备份页面１个 ＳＱＬ错误 ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ ｃｏｍ ７／７＝１ ００％。 ７／７＝１ ００％。 信息３个，物理路径泄漏３个，合计８个： ８／８＝１ ００％。 跨站４个．存在弱密码 目录泄漏１个，合计１个；１／１＝１Ｏ０％。 ｄｅｍｏ ｔｅｓｔｆｉｒｅ．ｎｅｔ 或者可以被绕过１个． 合计５个：５／５＝１００％。 ＴＯＭＣＡＴ管理端弱密码１ 弱密码或者可以被绕过 默认目录２个．登录页面２个，目录泄漏 ｄｅｍｏ．ｗｅｂｒａｖｏｒ ｃｏｍ 个，ＳＱＬ注入３个，合计４个； １个，跨站１个，合计２ １１个．合计１ ５个 １ ５／１ ５＝１Ｏ０％。 ４／４＝１ ００％。 个；２／２＝１ＯＣＩ％。 ｉ ｌ ＷＷＷ ｔａｒｇｅｔ ｃｏｍ Ａｃｃｅｓｓ数据库文件２个， ＥＷｅｂＥｄｉｔｏｒ数据库文件 测试页面１个，发现后台管理目录１个 ｗｅｂ允许写１个，ｓｑｌ注 １个，ＥＷｅｂＥｄｉｔｏｒ缺陷１ 登陆页面４个．目录泄漏２７个．备份页面 入９个，合１２／１ ２：１００％ 计１ ２个： 个．跨站弱点９个，服务 １个，路径跨越１个，ＳＱＬ错误信息泄漏１ 端信任跨越弱点１个． 个，合计３６个；３６／３６＝１００％。 合计１２个。 ・１２６・２０１０．０８・信息安全与技术 ｄｅｌｎｏ．ｔｅｓｉｍ．ｆｎｅｔ的注入点是演示程序，应用程序未过滤 字符，但是不能获取数据库信Ｊ息，因此该站的注＾点计为０。 表４ Ａｔ：￣Ｓｃａｎ的准确率很低，并且拥有很高的漏报。Ａ卯ｓａ∞ 的注入依然只是检测应用系统是否过滤了用户的输入，虽然新 增的“发现数据库错误模式”策略和“ＳＱＬ注入文件写入” ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｒｎ注入点 ｈｔｔｐ：／／ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｍ：８０／ ＡＪＡＸ／ｉｎｆｏａｒｔｉｓｔ．ｐｈｐ ７ｉｄ＝ｌ 数据库 数据库 名称 用户名 策略可以辅助ｓＱＬ注入的验证，但是仍然无法通过ＳＱＬ 注入弱点获取数据库信息，不能避免ＳＱＬ注人的高误报 率。无法发现Ｃｏｏｌ，ｄｅ编码的ＳＱＬ注入。 ｗＶＳ发现的注入统计： ｈｔｔｐ：／／ｔｅｓｔｐｈｐ ａｃｕｎｅｔ‘ｌｘ．ｃｏｍ：８Ｏ／ １１ ＡＪＡＸ／ｉｎｆｏｃａｔｅｇ．ｐｈｐ？ｉｄ＝１ ■ 总数 数 准确率 漏报率 ７ ３ ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｍ ７ ｄｅｍｏ．ｔｅｓｔｆｉｒｅ．ｎｅｔ Ｏ １００％ ０ Ｏ Ｏ ｈｔｔｐ：／／ｔｅｓｔｐｈｐ．ａｃｕｎｅｔ￣ｘ．ｃｏｍ：８０／ ＡＪＡＸ／ｉｎｆｏｔｉｔｌｅ．ｐｈｐ ＰＯＳＴ ｉｄ ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｃｏｍ ３ 综合网站 ９ ａｃｕａｒｔ＠ ｌｏｃａｌｈｏｓｔ ＭＹＳＱＬ ａｃｕａｒｔ ３ １００％ Ｏ １ １ １．１％ ８８．９％ ｈｔｔｐ：／／ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｌＸ．ｃｏｍ：８Ｏ／ ｐｒｏｄｕｃｔ．ｐｈｐ？ｐｉｃ＝１ ｗＶＳ虽然也没有获取数据库信息的策略，从前三行 的结果上看，发现ＳＱＬ注入点的能力上还是比Ａｐ￣Ｓｃａｎ 占上风，但是由于自身不能获取数据库信息，ｓＱＬ注入 弱点需要人工去验证，而且测试环境不能够完全模拟真 实的环境，所以ｗＶ＿ｓ在对综合网站的测试过程中，准确 性就降低了。无法发现Ｃｏｏｋｉｅ编码的ＳＱＬ注入。 ｈｔｔｐ：／／ｔｅｓｔｐｈｐ．ａｃｕｎｅｔ’ｌｘ．ｃｏｍ：８Ｏ／ Ｉｉｓｔｐｒｏｄｕｃｔｓ．ｐｈｐ？ｃａｔ＝１ ｈｔｔｐ：／／ｔｅｓｔｐｈｐ．ａｃｕｎｅｔ ｌｘ．ｃｏｍ：８０／ Ｉｉｓｔｐｒｏｄｕｃｔｓ ｐｈｐ？ａｒｔｉｓｔ＝１ ｈｔｔｐ：／／ｔｅｓｔｐｈｐ ａｃｕｎｅｔＩＸ．ｃｏｍ：８０／ ａｒｔｉｓｔｓ ｐｈｐ？ａｒｔｉｓｔ＝１ ＷｅｂＲａｖｏｒ发现的注入统计： ｄｅｍｏ．ｔｅｓｔｆｉｒｅ ｎｅｔ注入点 ｈｔｔｐ：／／ｄｅｍｏ．ｔｅｓｔｆｉ ｒｅ ｎｅｔ／ｂａｎｋ／ Ｉｏｇｉｎ．ａｓｐｘ ＰＯＳＴ ｕｉｄ Ｎ／Ａ Ｎ／Ａ Ｎ／Ａ 总数 个数 准确率 漏报率 ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｍ ７ ７ １００％ Ｏ ｄｅｍｏ．ｔｅｓｔｆｉｒｅ．ｎｅｔ Ｏ ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｃｏｍ ３ 综合网站 ９ Ｏ １Ｏ０％ ３ １ｏ０％ ９ １００％ Ｏ Ｏ Ｏ ｈｔｔｐ：／／ｄｅｍｏ．ｔｅｓｔｆｉ ｒｅ．ｎｅｔ／ｂａｎｋ／ Ｉｏｇｉｎ．ａｓｐｘ ＰＯＳＴ ｐａｓｓｗ ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｃｏｍ注入点 ｈｔｔｐ：／／ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｃｏｒｎ：８０／ ＷｅｂＲａｖｏｒ对检测ＳＱＬ注入方法的设计非常强悍， 能够自动获取数据库信息用于验证ＳＱＬ注入的存在。 不仅在测试环境中变现突出，在现实环境的表现 也不错。对ＷｅｂＲａｖｏｒ未能获取数据库信息的ＳＱＬ 注入点，工具也会自动将弱点归为“可疑”类别供工程 ＯＲＡＣＬＥ ｙｏｒｃａｌｅ ＳＣ０ＴＴ ｎｅｗｓ／Ｏ８０ａ．ｊｓｐ ７ｉｄ＝１ ｈｔｔｐ：／／ｄｅｍｏ ｗｅｂｒａｖｏｒ．ｃｏｒｎ：８０／ ｗｅｂ／ｕｓｅｒｉｎｄｅｘ ｊｓｐ ＰＯＳＴ ｕｓｅｒｎａｍｅ 师手动验证。 ｈｔｔｐ：／／ｄｅｍｏ．ｗｅｂｒａｖｏｒ ｃｏｍ：８０／ ３．４策略分析 三款软件的策略都围绕自己的设计理念进行，在 它们的策略中也有一些策略是相同的或相近的，如下 表５所示： ＳＱＬ注入、ＸＳＳ是ＯＷＡＳＰ的ＴＯＰＩＯ里的前两位，应 用系统扫描工具都具有判断这两个漏洞的功能。 目录泄漏：有可能导致敏感文件的泄漏，如一个目录 中包含了用户的账号信息的页面，则可以通过该目录直接 查看到用户信息的页面。 信息安全与技术－２０１０．０８・１２７・ ｗｅｂ／ｕｓｅｒｉｎｄｅｘ．ｊｓｐ ＰＯＳＴ ｐａｓｓｗｏｒｄ ＡｐｐＳａｃｎ发现的注入统计： 总数 个数 准确率 漏报率 ｔｅｓｔｐｈｐ．ａｃｕｎｅｔｉｘ．ｃｏｒｎ ７ ３ ４２．９％ ５７．１％ ｄｅｍｏ．ｔｅｓｔｆｉｒｅ．ｎｅｔ Ｏ ２ ０ Ｏ ｄｅｍｏ．ｗｅｂｒａｖｏｒ．ｃｏｒｎ ３ 综合网站 ９ Ｏ Ｏ １００％ １ １ １ １％ ８８．９％ Ｗｅｂ允许写操作：直接向目录中写入文件。 人工验证的大量参与。ＷｅｂＲａｖｏｒ不仅提供了ＳＱＬ注入的 路径跨越：执行硬盘上的文件。 验证，而且对返回包的数据自动进行筛选。 从测试的综合 ＵＲＬ重定向被利用：用于钓鱼。 能力上分析，ＷｅｂＲａｖｏｒ最强，ｗＶｓ其次，ＡｐｐＳｃａｎ最后。 敏感目录：用于暴力破解，或者通过注入获得的信息 四．测试总结 通过管理员页面登录应用系统。 ＡｐｐＳｃａｎ、ＷＶＳ、ＷｅｂＲａｖｏｒ是目前商业市场上最著 这些策略都是直接可以被攻击者利用或者直接给攻击 名的三款Ｗｅｂ应用安全扫描工具，其检测漏洞的能力也在 者提供参考价值。 伯仲之间。 在这三款软件中，ＷｅｂＲａｖｏｒ能够很好的发现利用价 经过对三款软件的测试，可以对产品发现弱点的能力 值较高的弱点，并且可以对这些弱点进行关联分析。比如 上有了非常细致的了解。当然这只是基于４个网站的测试， 发现ＳＱＬ注入点，可以通过ＳＱＬ注入点获取数据库的信 从测试的设计开始难免会有遗漏或设计不周的地方，比如 息，同时又发现敏感的登录页面，这两个弱点进行关联，就 我没有在测试的时候使用监控软件来查看每个软件占用 可以证明该应用系统存在很大的风险。 资源等等对软件性能的测试的比较，只是对软件的功能进 ＡｐｐＳｃａｎ和ｗＶＳ，只是对罗列的策略进行检测。 行比较，对发现的弱点以及这些弱点的策略进行了比较。 ＡｐｐＳｃａｎ虽然根据攻击者的攻击方式将策略重新划分，但 通过对三款软件的功能和检测漏洞能力上的分析可以 是总有画蛇添足的嫌疑。如一个参数存在跨站脚本弱点， 发现，综合能力上ＷｅｂＲａｖｏｒ占有一定的优势，优点突出； ＡｐｐＳｃａｎ会把＜ｓｃｒｉｐｔ＞替换成＜ｊｆｒａｍｅ＞，并重新起名为 ＡｐｐＳｃａｎ和ｗＶＳ的综合能力稍微弱一些。ｗＶｓ发现 “通过框架钓鱼”，图片跨站脚本弱点重新起名为“链接弱 ｓＱＬ注入的能力上比ＡｐｐＳｃａｎ强一些。 点”，弱点看起来很多，有危害的没几个。 总结看来，ＳｅｃＤｏｍａｉｎ ＷｅｂＲａｖｏｒ不愧为小榕团队作 ｗＶｓ大量的提示信息、错误信息提示，需要有经验的渗 品，秉承了简单易用的血统，并且能将各种情况考虑的比 透工程师将其汇总、验证才能判断出应用系统是否存在风险。 较细致，可惜知者甚少，用者更少，若有当年刀、光、雪、影 ３．５测试能力分析 之普及，何愁不复当年之勇矣。ＩＢＭ Ｒａｔｉｏｎａｌ ＡｐｐＳｃａｎ 在三款软件扫描的时间上，ｗＶＳ耗时最长，ＡｐｐＳｃａｎ 作为大厂商产品，可以说力求做得面面俱到，但如果遇到 其次，ＷｅｂＲａｖｏｒ最短。 复杂情况恐怕难堪重任。Ａｃｕｎｅｔｉｘ ｗｅｂ Ｖｕｌｎｅｒａｂｉｌｉｔｙ ＡｐｐＳｃａｎ和ＷＶＳ由于设计理念所限，依然存在很高的 Ｓｃａｎｎｅｒ作为一个非常有实力的厂商，思路非常明确，理念 误报，在对返回包数据的挖掘能力上，自动化程度不够，需要 也很好，不过仍有不少可提高之处。 表５ ＼ 盘口 ＼＼ Ｊ口口 ＡｐｐＳｃａｎ ＷＶＳ ＷｅｂＲａｖｏｒ 通用名、、＼ ＳＯＬ注入 ＳＱＬ ｉｎｊｅｃｔｉｏｎ ＳＱＬ注入。 ＳＱＬ注入 ＳＯＬ注入文件写入 引ｉｎｄ ＳＯＬ／ＸＰａｔｈ ｉｎｊｅｃｔｉｏｎ ＢＩｉｎｄ ＳＱＬ ｉｎｊｅｃｔｉｏｎ ｃｔｉｍｉｎｇ） ＸＳＳ 跨站点脚本编制 Ｃｒｏｓｓ Ｓｉｔｅ Ｓｃｒｉｐｔｉｎｇ 跨站脚本弱点。 链接注入 目录列表 Ｄｉｒｅｃｔｏｒｙ ｉｉｓｔｉｎｇ ｆｏｕｎｄ 目录泄漏。 目录泄漏 ＰｏｓｓｉｂＩｅ ｓｅｎｓｉｔｉｖｅ ｄｉｒｅｃｔｏｒｉｅｓ ＷＥＢ允许写操作 ＨＴＴＰ ＰＬＩＴ方法站点篡改 目录具有写权限 Ｗｅｂ允许写操作。 路径跨越 Ｗｉｎｄｏｗｓ文件参数变更 Ｄｉｒｅｃｔｏｒｙ ｔｒａｖｅｒｓａｌ（Ｗｉｎｄｏｗｓ） 路径跨越 ＵＲＬ重定向被利用 通过ＵＲＬ重定向钓鱼 ＵＲＬ ｒｅｄｉｒｅｃｔｉｏｎ 服务端信任跨越弱点。 敏感目录（页面） 直接访问管理页面 Ｐｏｓｓｉｂｌｅ ｓｅｎｓｉｔｉＭｅ ｄｉｒｅｃｔｏｒｉｅｓ 发现后台冒理目录，登录贝曲。 ・１２８・２０１０．０８・信息安全与技术