用户指南

Size: px

Start display at page:

Download "用户指南"

法谱劳
5 years ago
Views:

1 Web 漏洞扫描用户指南文档版本 02 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2017 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保华为技术有限公司地址 : 深圳市龙岗区坂田华为总部办公楼邮编 : 网址 : i

3 目录目录 1 简介 Web 漏洞扫描功能介绍使用场景计费介绍与其他服务的关系管理添加网站开启 Web 漏洞扫描查看扫描详情删除网站常见问题什么样的网站不能使用 Web 漏洞扫描服务? 怎样启用 Web 漏洞扫描服务? Web 漏洞扫描服务对 Web 应用的影响? 网站漏洞扫描一次需要多久? 为何无法进行 Web 漏洞扫描检测?... 9 A 修订记录 ii

4 1 简介 1 简介 1.1 Web 漏洞扫描 Web 漏洞扫描支持 Web 通用漏洞检测第三方应用漏洞检测指纹识别等多项安全扫描服务用户通过 Web 漏洞扫描服务添加网站后, 即可人工触发扫描任务, 检测并给出漏洞修复建议 1.2 功能介绍 Web 漏洞扫描服务可检测的漏洞覆盖了如下类型 : 通用漏洞检测 : 支持 27 种以上 Web 漏洞安全检测, 覆盖 owasp top 10 第三方漏洞检测 : 多达 1000 种第三方开源软件的漏洞检测以及未知漏洞的检测, 并实时同步 wooyun 漏洞库指纹识别 : 覆盖 600 多种 web 指纹及主机指纹针对发现的每种漏洞类型,Web 漏洞扫描服务提供了专业的修复建议 1.3 使用场景 Web 漏洞扫描应用于为 Web 弹性云服务器检测漏洞 Web 漏洞扫描服务可及时发现 Web 弹性云服务器漏洞, 并给出修复建议, 从而保障弹性云服务器的安全性 1.4 计费介绍 Web 漏洞扫描服务为免费服务 1

5 1 简介 1.5 与其他服务的关系与安全指数服务的关系安全指数服务 (Security Index Service,SIS) 可以直接获取 Web 漏洞扫描的概况作为安全评估指标用户可通过安全指数服务直观了解 Web 漏洞扫描的安全视图, 并快速进入 Web 漏洞扫描界面, 以进行安全检测策略配置 2

6 2 管理 2 管理 2.1 添加网站操作场景该任务指导用户通过 Web 漏洞扫描界面添加网站前提条件已获取管理控制台的登录帐号与密码已获取需开启 Web 漏洞扫描的网站名称及地址操作步骤步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 合作伙伴产品中心 > Web 漏洞扫描, 进入网站列表页面单击添加, 根据界面提示配置相关参数, 如图 2-1 所示 3

7 2 管理图 2-1 添加网站步骤 4 步骤 5 阅读 Web 漏洞扫描免费服务协议, 同意后, 请勾选我已阅读并同意 Web 漏洞扫描免费服务协议, 单击添加在弹出的网站验证对话框中, 根据验证方法验证网站所属权, 如图 2-2 所示图 2-2 网站验证步骤 6 单击验证 ---- 结束 4

8 2 管理 2.2 开启 Web 漏洞扫描操作场景前提条件操作步骤该任务指导用户针对网站开启 Web 漏洞扫描服务待开启 Web 漏洞扫描的网站已添加并通过验证步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 合作伙伴产品中心 > Web 漏洞扫描, 进入网站列表页面在待开启 Web 漏洞扫描的网站所在行, 单击开始扫描, 如图 2-3 所示图 2-3 开启扫描步骤 4 在弹出的对话框中, 单击确定说明单击高级前的可更改扫描厂家 ---- 结束 2.3 查看扫描详情操作场景前提条件操作步骤该任务指导用户查看网站的漏洞扫描详情目标网站已开启 Web 漏洞扫描服务步骤 1 步骤 2 步骤 3 登录管理控制台选择安全 > 合作伙伴产品中心 > Web 漏洞扫描, 进入网站列表页面在待查看扫描详情的网站所在行, 单击查看详情如图 2-4 所示 5

9 2 管理图 2-4 查看详情步骤 4 在扫描详情界面, 查看网站的漏洞扫描概况包括网站地址安全状态扫描开始时间以及汇总表图 2-5 漏洞扫描概况说明单击界面右上角导出扫描结果, 可将扫描结果下载到本地步骤 5 单击漏洞列表的更多步骤 6 在弹出的对话框中查看修复建议如图 2-6 所示 6

10 2 管理图 2-6 漏洞修复建议 ---- 结束 2.4 删除网站操作场景该任务指导用户对不再使用 Web 漏洞扫描的网站进行删除操作步骤步骤 1 步骤 2 登录管理控制台选择安全 > 合作伙伴产品中心 > Web 漏洞扫描, 进入网站列表页面步骤 3 在需要删除的网站所在行, 单击操作列的删除图 2-7 删除网站步骤 4 在弹出的删除对话框中, 单击确定 ---- 结束 7

11 3 常见问题 3 常见问题 3.1 什么样的网站不能使用 Web 漏洞扫描服务? 请确保网站可以正常访问, 并且内容遵守国家相关法律法规符合以下任一条款的网站将不能使用 Web 漏洞扫描服务 : 1. 未取得 ICP 备案号的网站不允许使用国内安全节点 ; 2. 网站打不开或无任何实际内容, 导致无法判断网站运营范围的网站 ; 3. 相关机构提示网页有威胁的, 有非法信息的 ; 4. 医院类型网站 ( 流产, 皮肤病, 性病等医院 ), 未获得卫生部资质的网站 ; 5. 网站主体内容含有色情 ( 视频交友, 一夜情交友 ) 违法 ( 办假证, 贩卖仿真枪 ) 黑客 ( 非技术交流网站 ) 钓鱼网站游戏私服游戏外挂网赚 ( 传销性质网站 ) 成人用品保健用品 ( 减肥药 ) 两性美女贴图和动漫贴图 ( 尺度过大 ) 赌博 ( 含贩卖赌博工具 ) 等低俗内容 ; 6. 网站存在恶意流氓广告 ( 存在非法内容视频链接, 非法网页内容链接 ); 7. 网站内容存在版权风险的网站 ( 视频, 小说, 音乐网站 ); 8. 网站含有药品销售保健品销售, 但未取得资质的, 或严重夸大药效事实 ; 9. 网站主要业务为向非法网站提供支付交易平台担保, 代理外国金融理财 ( 炒股, 炒现货, 炒黄金 ) 等服务 ; 10. 网站中大量存在影响社会和谐稳定的内容的网站 ( 涉嫌攻击国家, 攻击领导人, 攻击人民, 言论煽动性质的网站 ) 3.2 怎样启用 Web 漏洞扫描服务? 三步即可启用服务 : 1. 添加新的扫描网站, 输入网站名称及网站地址 2. 验证网站, 下载验证证书到本地并放置于所配置网站的根目录下 3. 单击操作列的开启扫描, 即可启用 Web 漏洞扫描服务 8

12 3 常见问题 3.3 Web 漏洞扫描服务对 Web 应用的影响? 漏洞扫描服务会模拟黑客对目标网站进行探测和攻击尝试, 但扫描请求本身都极力避免了写删除 sleep 等具有潜在危害性的操作漏洞扫描服务扫描的本质就是接收发布一些具有测试探测等非预期的数据, 并由此实现服务端对非预期数据的异常处理结果因此扫描的过程可能会引起以下风险 : 1. 写入脏数据造成页面扭曲 ( 尤其带 cookie 情况下扫描 ) 2. 扫描请求会造成服务器额外的性能压力 3. 扫描过程中有目录和文件猜解环节, 会引起服务器 404 错误 3.4 网站漏洞扫描一次需要多久? 网站漏洞扫描的时间由网站大小决定, 一般 200 个页面的网站完成一次漏洞扫描耗时 10 分钟扫描的过程中会向网站发送一定数量的检测请求, 可能会导致网站的负载小幅度增大 3.5 为何无法进行 Web 漏洞扫描检测? 如果网站没有完成认证, 则不允许启动扫描用户可先下载验证证书到本地, 然后拷贝到所要扫描网站的根目录, 同时请确认验证文件路径可以访问, 访问内容与下载文件内容一致 9

13 A 修订记录 A 修订记录发布日期修改说明第二次正式发布新增添加网站开启 Web 漏洞扫描查看扫描详情和删除网站章节第一次正式发布 10

API参考

API参考文档版本 03 发布日期 2018-06-20 华为技术有限公司版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品