使用WebInspect 10偵測網站系統弱點的簡單步驟

由簡睿 · 發表於: 2013/10/27 · 更新於: 2013/10/27 | 瀏覽數: 3 / 22775

標籤：資安

最近幾個月因為專案需求分別進行了網站系統的原始碼檢測（白箱）與弱點偵測（黑箱），搞得人仰馬翻、寢食難安。工具的使用算是很單純，最麻煩的是當測試工具抓到一個問題或弱點後，弄懂問題癥結並找到解決方案非常花時間和腦力，經常都是試著修改再重新跑測試，如果仍然又出現問題就再找資料、再換另一種可能的方法，時間就在反覆摸索、嘗試與釐清問題中度過。如果同一個問題試了多種方法都無法根除、又不清楚後續的修改方向時是最讓人抓狂的了。幸好在與同事們的共同努力下已接近完工階段了。這次使用的檢測工具都是HP的產品：Fortify SCA與WebInspect 10.0，功能很強、費用很高，如果不是客戶支援我們恐怕是用不起...以下是簡單的WebInspect操作要點，雖然只用到它的部份功能，但已足夠專案需求。

在Start Page分頁選擇弱點掃描的模式，以【Start a Basic Scan】做基本掃描。
在標準掃描選項輸入登入系統的入口網址，WebInspect需要我們執行一次登入程序，它會記錄登入中需要的網頁與帳號資訊，並存成巨集檔，在掃描時會持續透過登入程序做各種的網路攻擊，以找出系統的各個資安弱點。
勾選【Site Authentication】做網路帳號認證。第一次〔Record...〕讓系統記錄登入程序，將登入資訊存成巨集後，爾後就能用〔...〕去挑選。
確認網址正確後按〔Record〕進行錄製處理。
瀏覽器出現登入網頁，輸入帳號與密碼後按登入，最右側會同步出現系統記錄的內容。登入成功後按〔Stop〕停止錄製。
登入並看到功能表出現後就可按下〔Stop〕。
再按〔Play〕讓系統重新播放剛才記錄的登入程序。
播放正常的話按〔Yes〕，異常的話按〔No〕重新再錄製一次。
按〔Yes〕後系統會自動偵測登出的條件，登出偵測完成後就能按Save將登入巨集儲存起來，供爾後能重覆測試。
離開登入認證視窗後再度回到掃描設定視窗，預設的登入巨集會出現在輸入欄位內，再按〔Next>〕繼續下一步驟。
涵蓋範圍等的設定，選用預設值直接按〔Next>〕。
掃描組態確認，選用預設值直接按〔Next>〕。
最後一個步驟按〔Scan〕開始弱點掃描。
掃描狀況會顯示在新的分頁裡。如果已經掃描出太多的Critical或High等級的弱點時，可以按上方的〔Pause〕暫停，先去修改系統後再用〔Start/Resume〕重新接續掃描，或按〔Rescan〕建立新的掃描任務。
點擊某個弱點會彈出該弱點的參考資訊，如果不熟悉此弱點則能研讀並分析後續的處理方案。
雙擊則彈出弱點的執行資訊，有輸出網頁、Request、Response等分頁可以觀察。
掃描完成後可以產生報表做細部研讀。