WEB安全漏洞检测工具的分析与改进(8)
时间:2017-05-30 16:27 来源:毕业论文 作者:毕业论文 点击:次
每个综合的测试套件都具有自动化扫描器的功能，它对应用程序进行自动化测试。在这些工具套件中的实现的Fuzzer和扫描器具有以下特性： 自动化扫描检测普通的漏洞。没有一个综合的测试套件能够完成专业漏洞扫描器所执行的高级扫描。然而，它们能够利用在给定请求中发送一系列攻击字符串作为参数和分析应用程序的响应来鉴别普通漏洞。 手工配置扫描普通漏洞。这个功能能够使你准确地控制使用哪些攻击字符串和它们是如何在请求中合成一体的以及查看结果来鉴别任何不寻常的或者反常的响应，这样有益于进一步地分析。 一系列内置的攻击负载和以自定义方式产生任意负载的通用函数。 保存扫描响应的数据。 观察和分析响应结果的功能。 从应用程序的响应中提取有用数据的功能。在挖掘各种各样的漏洞(包括会话处理和控制访问中的弱点)时这个功能是非常有用的。 分析任意次序的Cookie和其他Token的功能。 3.3.4手工的请求工具 综合的测试套件的手工请求组件提供了发送单独请求和观察响应的基本功能。尽管简单，但是在你探测一个试验性的漏洞时需要重新发送数次相同的手工请求，调整请求的内容来确定对应用程序行为的影响的情况下，这个功能是相当有用的。当然，你也可以使用一个单独的工具完成这个任务，但是对于套件拥有内置的功能意着你能够快速地从其他组件(Proxy，Spider或者Fuzzer)获取感兴趣的请求。这也意着手工请求工具受益于套件中实施的各式各样的共享功能，例如HTML绘制，支持Proxy-Chain，认证以及自动更新Content-Length头。 同样，它也具有以下特征： 综合其他组件和提交请求到其他组件进行更加深入地分析。 所有请求和响应的历史记录，这样可以保持所有手工请求的一个完整的记录并且能够获取先前修改的请求进行更加深入地分析。 3.3.5共享功能和效用 除了核心组件外，综合的测试套件还提供了其他有用的增值特性来解决特殊需要(在你攻击一个Web应用程序时，在异常的条件下使用其他工具攻击时产生的)。这个组件可能具有如下特性： HTTP消息结构的分析，包括头部和请求参数的解析。 绘制响应中的HTML内容(因为它要出现在浏览器中)。 以文本和十优尔进制形式显示和编辑消息的能力。 在所有请求和响应中的搜索功能。 在手工编辑消息内容后自动更新HTTP 的Content-Length头。 内置的编码和解码器，这可以快速地分析应用程序中的cookie和其他参数数据。 比较两个响应和高亮显示差别的内容。 保存当前的测试会话到磁盘和获取保存的会话。 综合本地计算机上的剪切板，可以快速地实现数据的转移。 支持Proxy-Chain。 支持客户端的SSL证书。 处理更多的HTTP模糊特性，例如Gzip内容编码，区块传输编码以及HTTP状态100中间响应等等。 可扩展性，这样可以使内置的功能被修改和以任意的方式被扩展。 持久稳固的工具配置选项。 平台独立性。 3.4 性能比较 前面对综合性测试套件的框架进行了详细的分析，讲述了每个组件所具有的特性，这类工具的典型代表有Paros Proxy、Burp Suite。其中Burp Suite是非开源的，然而那些特性在Paros Proxy和Burp Suite中并非都具有。由于在各方面的功能比较完善，所以就此比较两者以显示使用Burp Suite的优越之处。具体的性能比较见表3.1。 (责任编辑：qin) |