功能介绍

功能介绍

Spider抓取

Spider抓取 Spider是Paros中一个非常重要的功能,它是用来抓取网站信息,收集URL地址信息,通过Spider这种方式来来逐层分解抓取站点的URLParos工具使用理解文档
当前,它的功能包括如下:

  1. 通过提供的URL地址来抓取HTTP或者HTTPS信息  2. 支持抓取Cookie信息
  2. 支持设置代理链 
  3. 自动添加URL地址,并以树结构分层进行扫描  Spider存在的一些缺陷,如下:
  4. 对于具有非法验证的SSL协议的站点不能被扫描  2. 不支持多线程
  5. 对于在HTML中存在异常URL地址的页面不能被识别 4. Javascript生成的URL地址不能被识别 注意:对于不能被 识别的URL地址,Paros也可 以扫描,需要通过手动添加即可。

Scanner扫描

针对“site”栏中的URLS 进行扫描,逐一检查对URLS 分别进行安全性检查,验证是否存在安全漏洞。如果想扫描”site”栏中所有的URLS,单击anaylse-scanall可以启动全部扫描。如果只想扫描“site”栏中某一URL,选中该URL,右击鼠标,选取scan 命令 关于扫描设置,可以对单个页面进行扫描,也可以对整个站点进行扫描。

Scanner可以针对一下几种情况进行扫描:
1. SQL注入 
2. XSS跨站点脚本攻击 
3. 目录遍历 
4. CRLF – Carriage-Return Line-Feed 回车换行。
(注意:Paros扫描是针对每个网站URL地址进行分层扫描,精确到每个一个独立的URL地址,都需要进行漏洞检测。)
行漏洞检测。 关于扫描策略的设置如下:

  1. 搜集的信息有如下分类: 过期的文件、私有IP的暴露、URL地址中可以改写的Session ID、过期文件的扩展检查。
  2. 客户端浏览器有如下分类: 表单自动完成密码的保存、浏览过程中保存的安全性文件的缓存信息。
  3. 服务器端安全有如下分类: 正在浏览的目录信息、IIS服务的默认文件等各种服务器的默认文件。
  4. SQL注入有如下分类 基本的sql语句构造、目录上传、服务器站点注入、跨站脚本注入等。

Filter过滤器

过滤器的用途:

  1. 检测并警告你在HTTP消息中一些预定义发生的模式,因此你不需要去捕获每个HTTP消息,而只需要寻求你所需要的模式。
  2. 记录一些你所感兴趣的信息,例如Cookie等。 在数据传输中,过滤器会对每一个HTTP消息进行拦截检测,如果使用所有过滤将会大大降低Paros的扫描速度,所以通常我们只需要对我们需要的信息进行拦截过滤。
    当前,有如下过滤器:
  3. LogCookie 记录所有浏览器端到服务器端接收的Cookies信息,并显示在面板中。
  4. LogGetQuery 记录所有HTTP(HTTPS)来自浏览器端获取的参数,并且日志的名称将以“get.xls”的形式保存在Paros目录下面。
  5. LogPostQuery 记录所有HTTP(HTTPS)来自浏览器端传送的参数,并且日志的名称将以“post.xls”的形式保存在Paros目录下面。  4.CookieDetectFilter 提醒你在返回HTTP消息中尝试去设置并修改Cookie信息。  5.IfModifiedSinceFilter 在HTTP请求中删除“If−Modified−Since”和“If−None−Match”这头信息选项,它将检索“HTTP 200 OK”,而不是“HTTP 304 not modified”。

Traping Http Requests and Responses

Paros能手动捕获和修改HTTP(HTTPS)的请求和响应信息,所有的HTTP和HTTPS数据通过Paros都能被捕获,并且可以按照我们需要的方式进行修改。 只要选中复选框“Trap Request”和“Trap Response”,就表示捕获所有的请求和响应信息,然后点击“Continue”就可以继续操作。
具体操作如图所示:

  1. 启动Paros工具,并启动页面;
  2. 勾选Trap页面的Trap Request和TrapResponse选项; 
  3. 在http页面输入请求数据 注意:如果在阻截过程中需要停止劫获,需要点击Drop按钮

Last Scan Report

扫描完成后,单击Report-Last Scan report,可查看当前的扫描报告。根据扫描报告,对扫描结果进行验证,比如扫描结果中有一项是URL 传递的参数中存在SQL注入漏洞,我们将该URL及参数输入到地址栏中,验证结果。扫描结束给扫描用时,并提示获取测试报告在Report菜单下面,报告中主要给报告生成时间、漏洞的等级以及漏洞的具体描述信息。

本文章首发在 网安wangan.com 网站上。

上一篇 下一篇
讨论数量: 0
只看当前版本


暂无话题~