网路游侠:JSky-WEB应用安全检测系统最新版介绍

  相信做渗透测试的兄弟们都晓得pangolin吧?大名鼎鼎的穿山甲--这个星球上SQL注入检测最好的工具之一。
  我们知道pangolin的作者是中国黑客界的大牛zwell,在pangolin之后,又推出过一款名为jsky的WEB应用安全检测系统。当然,在网上您可以下载到pangolin和jsky的早期版本--因为,那时候,它们还都是免费发布的。
  经过几年的不断发展,pangolin和jsky都成了商业版本。与国内外的WEB应用安全检测系统比起来,zwell大牛的作品也是有相当的特色。和zwell聊的时候,他也非常低调,是个埋头做技术的人。今天游侠安全网(www.youxia.org)收到了宇造诺赛(就是将jsky和pangolin商业化运作的公司)邮寄过来的加密狗,于是装上了jsky的最新版,下面游侠将这款优秀的WEB应用安全检测系统展现给大家!
  依然在我的VMware安装一个Windows服务器操作系统,配置IIS,并放入一个有漏洞的网站,这样展示的时候效果好一些。虚拟机的IP地址是192.168.1.44,我修改了本机的hosts文件,将test.youxia.org映射到上面。
  我们新建一个扫描,可以看到,现在可选项比以前丰富了许多:
  
  可以加载扫描列表,可以扫描网段,还可以配置扫描虚拟主机。还可以设置“附加域”进行某个域详细信息的配置。比如*.youxia.org设置扫描,但是不扫描www.youxia.org这个子域。
  至于虚拟主机,我们看看如何配置:
  
  通过whois查询同一台服务器上的网站,这样在做渗透测试的时候会更加便捷。另外这个功能在别的WEB应用安全检测系统里面是没有的。
  当然,我们这里仅需要直接在URL这里输入http://test.youxia.org就可以了,然后下一步。
  
  爬虫配置这里,可以设置线程、URL大小写等,亦可通过正则表达式进行URL等的过滤,亦可排除某些文件类型,如。mp3之类。
  扫描策略这里,我们看到,常见的WEB应用安全漏洞都全了,我默认选择的全部。
  
  下一步后,如果是SSL登陆可以设置证书等,如果是会员制需要注册的网站,可以选择保存登录信息。完成后点“扫描”就开始干活了。
  经过一段时间的等待(这个时间取决于你网站的规模、网速、服务器的响应速率等),扫描完成!
  
  主界面左侧,是jsky抓取到的网站结构,目录、文件、图片、js等……左下是脆弱性分布图,比较直观的,红色是高危级别。右上侧是漏洞信息,包括漏洞类型,包含漏洞的URL,右侧下方有“参数列表、预览、头信息、结构信息、HTML”几个选项。
  当然,如果你选择了某个具体的URL,会提示该WEB应用漏洞详情:
  
  当然,我们现在扫描完毕,可以查看下我们的安全报告。jsky支持导出几种报表:测试、执行概要、开发者、详细。下面是预览报告的界面,可以确认整个网站的风险等级、威胁统计,当然会有漏洞的测试URL、建议解决方案等详细信息。
  
  报告可以导出为PDF、HTML、RTF等多种格式,也比较便捷。
  如果您以为jsky的能力到此结束,就错了。我们在漏洞标签下看看,寻找一个有SQL注入漏洞的页面,鼠标右键看看可以做什么?
  
  选择渗透测试,看到什么了?很熟悉的界面!
  
  对!的确是pangolin!新版本的jsky直接把pangolin集成到了主界面,并且不用再选择“开始”,就自动开始进行渗透测试。这里就不多说了,搞渗透测试的兄弟们都明白!
  pangolin也是游侠常用的验证sql注入漏洞的工具,网上您可以下载到早期的免费版本, 可以和其它的sql注入工具对比下,效果还是很不错的。
  当然,jsky也包含其它的一些模块,如下图所示:
  
  因这个比较容易理解,就不赘述了。
  jsky可以很好的配合您做web应用安全检测,即使您只是安全新手,也能快速评估一个web应用程序的安全性。
  就给大家介绍到这里,感谢诺赛科技提供jsky专业版给游侠安全网(www.youxia.org)测试。
  如果希望获得购买相关事宜,也可以和游侠联系,QQ:175589438

你可能感兴趣的:(WEB安全,web扫描,jsky,pangolin,web漏洞扫描)