搜索

[11025] 2017-02-14_产品经理眼中比较理想的WEB扫描器

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-02-14_产品经理眼中比较理想的WEB扫描器 产 品 经 理 眼 中 比 较 理 想 的 W E B 扫 描 器 兜 哥   F r e e B u f   2 0 1 7 - 0 2 - 1 4 摘 要 摘 要 漏 洞 扫 描 器 ， 也 叫 漏 洞 扫 描 器 ， 也 叫 V A （ （ V u l n e r a b i l i t y   A s s e s s m e n t ） 漏 洞 评 估 或 者 ） 漏 洞 评 估 或 者 V M （ （ V u l n e r a b i l i t y   M a n a g e m e n t ） 漏 洞 管 理 ， 一 直 是 各 大 安 ） 漏 洞 管 理 ， 一 直 是 各 大 安 全 厂 商 产 品 线 中 不 可 或 缺 的 一 部 分 。 全 厂 商 产 品 线 中 不 可 或 缺 的 一 部 分 。 本 文 是 以 一 个 产 品 经 理 的 角 度 讨 论 其 中 更 细 分 的 一 个 领 域 ， W E B 漏 洞 扫 描 器 。 所 谓 产 品 经 理 的 视 角 其 实 是 兼 顾 甲 方 和 乙 方 的 立 场 。 重 要 地 位 重 要 地 位 W E B 漏 洞 扫 描 器 主 要 任 务 是 发 现 W E B 服 务 存 在 的 安 全 漏 洞 ， 及 时 通 知 用 户 并 给 出 一 定 的 修 复 建 议 。 在 P D R 以 及 P 2 D R 模 型 中 ， W E B 漏 洞 扫 描 器 属 于 检 测 环 节 ， 是 动 态 响 应 和 加 强 防 护 的 依 据 ， 通 过 不 断 地 检 测 和 监 控 网 络 系 统 ， 来 发 现 新 的 威 胁 和 弱 点 ， 通 过 循 环 反 馈 来 及 时 做 出 有 效 的 响 应 。 当 攻 击 者 穿 透 防 护 系 统 时 ， 检 测 功 能 就 发 挥 作 用 ， 与 防 护 系 统 形 成 互 补 。 在 S D L 过 程 中 ， W E B 漏 洞 扫 描 器 的 一 大 作 用 就 是 在 上 线 前 在 测 试 环 境 对 业 务 系 统 进 行 安 全 扫 描 ， 发 现 W E B 漏 洞 。 常 见 衡 量 标 准 常 见 衡 量 标 准 如 何 衡 量 一 款 W E B 漏 洞 扫 描 器 能 力 是 一 个 非 常 复 杂 的 问 题 。 G a r t n e r 的 观 点 主 要 是 以 下 几 点 ： 对 设 备 、 第 三 方 运 营 系 统 及 应 用 的 覆 盖 范 围 广 度 ； 漏 洞 签 名 和 相 关 通 告 的 范 围 和 质 量 ； 扫 描 机 制 的 速 度 、 可 靠 性 、 易 管 理 性 和 安 全 性 ； 分 析 和 报 告 发 现 结 果 的 能 力 ；
漏 洞 数 据 管 理 和 跟 踪 能 力 ； 集 中 化 管 理 和 扫 描 器 扫 描 调 配 能 力 。 实 践 中 的 不 足 实 践 中 的 不 足 市 场 上 的 W E B 漏 洞 安 全 产 品 十 分 丰 富 ， 从 开 源 工 具 到 免 费 S a a S 产 品 和 商 业 产 品 ， 几 十 款 肯 定 打 不 住 。 我 在 实 际 工 作 中 也 接 触 了 很 多 ， 以 比 较 严 格 的 标 准 看 ， 或 多 或 少 都 有 以 下 问 题 ： 对 对 A P I 服 务 支 持 差 服 务 支 持 差 随 着 移 动 A P P 的 快 速 发 展 ， W E B 服 务 迅 速 的 从 单 纯 的 P C 浏 览 型 网 站 迅 速 过 渡 到 A P P   A P I 服 务 和 P C 浏 览 型 服 务 并 存 ， 甚 至 部 分 网 站 只 有 A P P 服 务 了 ， 主 页 就 是 个 公 司 简 介 加 A P P 下 载 。 大 多 数 扫 描 器 没 有 及 时 适 应 这 种 新 变 化 ， 大 量 A P I 服 务 无 法 被 扫 描 器 的 爬 虫 爬 到 ， 这 导 致 扫 描 器 几 乎 失 效 。 爬 虫 能 力 偏 弱 爬 虫 能 力 偏 弱 即 使 是 针 对 P C 浏 览 器 网 站 ， 由 于 j s 以 及 大 量 前 端 开 源 框 架 的 快 速 发 展 ， 传 统 的 爬 虫 面 对 静 态 网 页 和 简 单 的 动 态 网 页 尚 可 ， 面 对 较 复 杂 的 动 态 网 页 就 很 吃 力 ， 出 现 大 量 链 接 爬 取 漏 掉 ， 也 直 接 导 致 了 扫 描 器 的 大 量 漏 扫 。 这 两 点 真 正 使 用 扫 描 器 的 甲 方 多 有 体 会 的 。 自 动 化 能 力 弱 自 动 化 能 力 弱 这 里 的 自 动 化 能 力 ， 主 要 是 指 自 动 发 现 扫 描 目 标 的 能 力 。 绝 大 多 数 扫 描 器 需 要 用 户 手 工 录 入 扫 描 目 标 ， 这 本 来 也 无 可 厚 非 ， 但 是 在 实 际 操 作 工 程 中 ， 梳 理 清 楚 自 身 I T 资 产 这 本 身 就 是 一 个 十 分 繁 重 的 工 作 ， 而 且 I T 资 产 本 身 又 是 个 时 刻 动 态 变 化 的 ， 即 使 是 支 持 批 量 导 入 ， 也 不 能 完 全 解 决 问 题 。 我 之 前 遇 到 过 一 个 C A S E ， 某 个 互 联 网 公 司 测 试 态 势 感 知 类 产 品 时 ， 运 行 了 近 一 个 月 后 发 现 一 起 真 实 入 侵 ， 被 入 侵 的 域 名 O P 查 了 半 天 也 不 知 道 是 谁 的 ， 最 后 打 了 一 通 电 话 后 才 知 道 是 个 R D 的 测 试 环 境 ， 当 时 的 O P 离 职 忘 交 接 了 ， 当 时 的 R D 也 离 职 了 。 幸 亏 是 测 试 环 境 ， 也 没 造 成 啥 影 响 ， 不 过 从 侧 面 反 映 出 互 联 网 公 司 的 I T 资 产 管 理 的 困 难 。 在 这 种 实 际 情 况 下 ， 指 望 手 工 维 护 和 录 入 扫 描 目 标 ， 几 乎 是 不 可 能 完 成 的 任 务 。 部 分 扫 描 器 在 安 装 客 户 端 的 情 况 下 可 以 很 好 解 决 这 个 问 题 ， 但 是 这 又 引 入 了 另 外 一 个 问 题 ， 全 量 部 署 扫 描 器 的 客 户 端 这 本 身 又 是 个 很 困 难 的 事 情 ， 尤 其 是 在 中 大 型 的 公 司 。 缺 乏 基 础 的 业 务 安 全 检 测 能 力 缺 乏 基 础 的 业 务 安 全 检 测 能 力 这 里 的 基 础 业 务 安 全 的 检 测 能 力 ， 我 其 实 也 不 太 确 定 是 否 应 该 是 W E B 扫 描 器 来 做 ， 不 过 在 它 上 面 做 确 实 挺 合 适 ， 就 是 个 顺 手 干 的 事 。 所 谓 的 基 础 业 务 安 全 的 检 测 能 力 指 的 是 ： 暴 恐 ， 涉 黄 ， 涉 政 ， 违 法 广 告 主 页 篡 改 黑 色 S E O 信 息 孤 岛 难 以 融 入 安 全 体 系 信 息 孤 岛 难 以 融 入 安 全 体 系 多 数 扫 描 器 还 是 信 息 孤 岛 一 个 ， 与 其 他 安 全 设 备 没 有 协 同 联 动 ， 与 内 部 工 作 流 系 统 没 有 对 接 。
理 想 中 理 想 中 W E B 漏 洞 扫 描 器 漏 洞 扫 描 器 安 全 技 术 这 几 年 发 展 很 快 ， 我 觉 得 在 未 来 两 年 内 可 以 完 全 做 到 以 下 几 点 还 可 以 算 上 比 较 理 想 的 W E B 漏 洞 扫 描 器 ， 再 长 点 的 时 间 就 不 敢 说 了 。 多 数 据 源 支 持 多 数 据 源 支 持 扫 描 器 可 以 处 理 的 数 据 最 终 形 态 一 定 是 带 有 参 数 的 u r l 链 接 ， 凡 事 可 以 转 化 成 u r l 的 都 可 以 作 为 数 据 源 。 传 统 扫 描 器 依 赖 用 户 手 工 录 入 域 名 或 者 I P ， 爬 虫 以 域 名 或 者 I P 作 为 起 点 去 爬 u r l 。 总 结 下 可 以 作 为 数 据 源 的 包 括 以 下 几 种 ：     W E B 服 务 器 日 志     网 络 流 量 *       W A F ／ I D S 等 安 全 设 备 日 志 *       域 名 ／ I P 其 中 基 于 网 络 流 量 来 做 扫 描 器 数 据 源 ， 也 叫 做 P V S （ P a s s i v e   V u l n e r a b i l i t y   S c a n n e r ） ， 最 早 由 T e n a b l e 网 络 安 全 公 司 开 发 ， 后 来 成 为 整 个 网 络 安 全 行 业 的 通 用 功 能 。 由 于 商 标 权 原 因 ， 有 些 网 络 安 全 厂 商 称 之 为 实 时 漏 洞 分 析 。 大 量 数 据 源 的 接 入 ， 可 以 比 较 好 的 解 决 A P I 服 务 以 及 较 复 杂 动 态 页 面 爬 虫 难 以 爬 取 的 问 题 。 但 是 这 个 技 术 是 双 刃 剑 ， 尤 其 是 在 A P I 服 务 的 环 境 下 。 生 产 实 践 中 ， 非 常 多 的 A P I 服 务 甚 至 缺 乏 基 础 的 鉴 权 和 限 速 保 护 ， 直 接 使 用 流 量 中 提 取 的 U R L 进 行 扫 描 ， 无 形 之 中 做 了 攻 击 重 发 ， 非 常 容 易 造 成 不 可 预 期 的 结 果 ， 比 较 典 型 的 就 是 误 删 ／ 误 查 ／ 误 改 业 务 数 据 。
黑 客 视 角 的 自 动 踩 点 黑 客 视 角 的 自 动 踩 点 黑 客 视 角 的 自 动 化 踩 点 其 实 就 是 以 黑 客 的 角 度 从 外 网 环 境 黑 盒 的 去 发 现 攻 击 面 ， 和 人 工 渗 透 测 试 的 步 骤 很 类 似 ： 域 名 ： 使 用 字 典 自 动 化 枚 举 域 名 ， 发 现 潜 在 目 标 ， 不 依 赖 于 手 工 录 入 ， 针 对 无 人 管 理 的 被 遗 忘 的 系 统 特 别 有 效 高 危 服 务 ： 最 简 单 的 实 现 就 是 基 于 n m a p 的 服 务 发 现 即 可 ， 非 W E B 服 务 不 是 本 文 重 点 ， 不 多 说 了 ； 类 似 e s ， s o l r ， m o n g o d b 这 类 可 以 发 现 。 高 危 框 架 ： 一 方 面 是 容 易 出 事 的 s t r 2 ， d z 之 类 可 以 直 接 上 去 尝 试 下 ， 一 方 面 是 容 易 被 黑 的 p h p m y a d m i n ， z a b b i x 等 管 理 平 台 可 以 尝 试 攻 击 下 。 社 工 库 ： 这 个 可 以 和 所 谓 威 胁 情 报 扯 上 关 系 ， 本 质 上 用 外 界 散 布 的 社 工 库 或 者 g i t h u b 上 的 明 文 密 码 尝 试 登 陆 发 现 的 管 理 后 台 以 及 邮 件 系 统 ， 发 现 潜 在 的 弱 密 码 或 者 被 泄 漏 的 密 码 。
基 础 的 业 务 安 全 检 测 基 础 的 业 务 安 全 检 测 支 持 基 础 的 暴 恐 ， 涉 黄 ， 涉 政 ， 违 法 广 告 ， 黑 色 S E O 检 测 更 加 友 好 的 修 复 建 议 以 及 自 主 漏 洞 验 证 更 加 友 好 的 修 复 建 议 以 及 自 主 漏 洞 验 证 这 个 是 用 户 体 验 的 范 畴 与 其 他 系 统 的 协 同 联 动 与 其 他 系 统 的 协 同 联 动 其 他 安 全 产 品 作 为 W E B 扫 描 器 的 输 入 数 据 源 可 以 提 高 其 扫 描 发 现 能 力 ， 同 样 W E B 扫 描 器 的 扫 描 结 果 也 可 以 作 为 其 他 安 全 设 备 的 数 据 源 ， 比 较 典 型 的 包 括 以 下 几 种 ： 提 供 给 S I E M ／ S O C ， 作 为 I D S 产 品 关 联 分 析 的 数 据 源 提 供 给 C M D B ， 与 C M D B 做 数 据 互 换 提 供 给 W A F ／ I P S ， 作 为 防 护 设 备 的 阻 断 策 略 的 参 考 依 据 提 供 给 S O C 或 者 内 部 工 作 流 系 统 ， 与 工 单 或 者 工 作 流 系 统 联 动 遗 憾 遗 憾 即 使 做 到 了 以 上 几 点 ， 仍 然 还 是 有 很 多 漏 洞 没 法 在 完 全 不 影 响 业 务 的 情 况 下 很 好 的 去 解 决 ， 我 能 够 想 到 的 包 括 以 下 几 点 ： 存 储 型 x s s 上 传 漏 洞 业 务 逻 辑 漏 洞 * 本 文 作 者 ： 兜 哥 ， 转 载 请 注 明 来 自 F r e e b u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理