牛X网站扫描工具 WVS(Web Vulnerability Scanner )

WVS网站扫描工具,不需要安装。不像国内的那几个软件,扫描速度还可以。遍历目录我喜欢哦。哈哈,蜘蛛厉害。有需要的就顶顶,推荐大家用了检测自己的网站是否安全,不要搞破坏。

WVS

WVS(Web Vulnerability Scanner)是一个自动化的Web应用程序安全测试工具,它可以扫描任何可通过Web浏览器访问的和遵循HTTP/HTTPS规则的Web站点和Web应用程序。适用于任何中小型和大型企业的内联网、外延网和面向客户、雇员、厂商和其它人员的Web网站
 
WVS可以通过检查SQL·注入攻击漏洞、跨站脚本攻击漏洞等来审核你的Web应用程序。
它可以扫描任何可通过Web浏览器访问的和遵循HTTP/HTTPS规则的Web站点和Web应用程序。
除了自动化地扫描可以利用的漏洞,WVS还提供了分析现有通用产品和客户定制产品(包括那些依赖于JavaScript的程序即AJAX应用程序)的一个强健的解决方案。
WVS工作原理
WVS拥有大量的自动化特性和手动工具,总体而言,它以下面的方式工作:
1.它将会扫描整个网站,它通过跟踪站点上的所有链接和robots.txt(如果有的话)而实现扫描。然后WVS就会映射出站点的结构并显示每个文件的细节信息。
2.在上述的发现阶段或扫描过程之后,WVS就会自动地对所发现的每一个页面发动一系列的漏洞攻击,这实质上是模拟一个黑客的攻击过程。WVS分析每一个页面中可以输入数据的地方,进而尝试所有的输入组合。这是一个自动扫描阶段。
3.在它发现漏洞之后,WVS就会在“Alerts Node(警告节点)”中报告这些漏洞。每一个警告都包含着漏洞信息和如何修复漏洞的建议。
4.在一次扫描完成之后,它会将结果保存为文件以备日后分析以及与以前的扫描相比较。使用报告工具,就可以创建一个专业的报告来总结这次扫描。
审核漏洞
WVS自动地检查下面的漏洞和内容:
·版本检查,包括易受攻击的Web服务器,易受攻击的Web服务器技术
·CGI测试,包括检查Web服务器的问题,主要是决定在服务器上是否启用了危险的HTTP方法,例如PUT,TRACE,DELETE等等。
·参数操纵:主要包括跨站脚本攻击(XSS)、SQL注入攻击、代码执行、目录遍历攻击、文件入侵、脚本源代码泄漏、CRLF注入、PHP代码注入、XPath注入、LDAP注入、Cookie操纵、URL重定向、应用程序错误消息等。
·多请求参数操纵:主要是Blind SQL / XPath注入攻击
·文件检查:检查备份文件或目录,查找常见的文件(如日志文件、应用程序踪迹等),以及URL中的跨站脚本攻击,还要检查脚本错误等。
·目录检查,主要查看常见的文件,发现敏感的文件和目录,发现路径中的跨站脚本攻击等。
·Web应用程序:检查特定Web应用程序的已知漏洞的大型数据库,例如论坛、Web入口、CMS系统、电子商务应用程序和PHP库等。
·文本搜索:目录列表、源代码揭示、检查电子邮件地址、微软Office中可能的敏感信息、错误消息等。
·GHDB Google攻击数据库:可以检查数据库中1400多条GHDB搜索项目。
·Web服务:主要是参数处理,其中包括SQL注入/Blind SQL注入(即盲注攻击)、代码执行、XPath注入、应用程序错误消息等。
使用该软件所提供的手动工具,还可以执行其它的漏洞测试,包括输入合法检查、验证攻击、缓冲区溢出等。
 

原创文章转载请注明:转载自 七行者博客

本文固定链接: http://www.qxzxp.com/3887.html