Netsparker Standard怎么样创建新扫描

创建新扫描

Netsparker使您可以通过选择默认扫描设置立即开始扫描Web应用程序。

但是，有多个可自定义的扫描选项。以下各节说明了每个选项。

Netsparker Standard新扫描字段

下表列出并说明了“启动新网站或Web服务扫描”对话框中的字段。

字段	描述
目标网站或Web服务URL	这是网站或Web服务的目标URL。
扫描资料	这是扫描配置文件。

Netsparker Standard扫描选项字段

本节列出并说明了“启动新网站或Web服务扫描”对话框的“选项”部分中的字段，该对话框又分为两个部分：

扫描设定
认证方式

扫描设置–常规

在此选项卡中，您可以配置基本扫描选项。

字段	描述
扫描政策	扫描策略定义扫描设置以及将执行的安全测试。您还可以定义扫描策略，以便执行PCI Checks测试。
报告政策	报告策略定义了如何报告扫描结果。
自定义Cookie	它包含任何必需的cookie，格式为cookiename = value。Netsparker Standard中所有已配置的cookie随每个HTTP请求一起发送，并且服务器响应不能过期。要添加自定义Cookie，请在“常规”选项卡的“扫描策略” 的“ 自定义Cookie”部分中键入该Cookie及其值。该值必须经过URL编码。使用分号（;）分隔多个cookie。例如：CookieName1 = Value1; CookieName2 = Value2; CookieName3 =值3
爬行	这表明扫描应如何搜寻目标URL。选项包括：- 查找并关注新链接；- 同时启用抓取和攻击

扫描设置–范围

在此选项卡中，您可以配置扫描范围，RegEx表达式和HTTP方法。

此外，您还可以：

输入正则表达式列表以排除或包括URL
选择扫描仪应包含还是排除RegEx模式
指定不允许的HTTP方法

字段	描述
范围	“扫描范围”设置使您可以指定应爬网和扫描目标网站的哪些部分。
使用RegEx排除URL	选择包括或排除，然后输入正则表达式。
不允许的HTTP方法	选择要禁止的HTTP方法。Netsparker不会针对所选方法发出HTTP请求。

扫描设置其他网站

在此选项卡中，您可以将其他链接添加到需要扫描的域，而不是目标URL的域。

字段	描述
网址	输入其他URL。
规范	选择“规范”以扫描规范的URL，以防止扫描重复的页面。

扫描设置–导入的链接

在此选项卡中，您可以添加也要扫描的，未从目标网站上的任何位置链接的URL。

字段	描述
方法	输入HTTP方法，例如GET或POST。
网址	输入添加或导入的页面的URL以进行扫描。
添加	单击以打开“添加新链接”对话框。
编辑	单击以编辑添加或导入的URL。
删除	单击以删除添加或导入的URL。
清除	单击以删除所有添加或导入的URL。
搜索	单击以搜索添加或导入的URL。
从文件导入	单击以从文件导入URL。
输入链接	单击打开“输入链接/ HTTP请求”对话框。

扫描设置– URL重写

在此选项卡中，您可以配置扫描的URL重写规则。

启发式模式，自动检测URL
自定义模式，用于配置URL重写规则以加快扫描速度

字段	描述
使用启发式URL重写支持	启用以自动检测目标网站上的URL重写并创建规则。所有字段都是可配置的。
根路径最大动态签名	如果根路径中的URL块包含的项目超过此限制，则将其标识为URL重写参数。必须介于1到10,000之间。显示此字段以进行启发式设置。
子路径最大动态签名	如果子路径中的URL块包含的项目超过此限制，则将其标识为URL重写参数。必须介于1到10,000之间。显示此字段以进行启发式设置。
块分离器	包含用于将URL拆分为块的分隔符。显示此字段以进行启发式设置。
可分析的扩展	如果URL包含文件扩展名，则仅当相应的扩展名在此列表中时才会进行分析。显示此字段以进行启发式设置。
使用自定义URL重写规则	启用以配置URL规则以进行更快的扫描。
New	单击以添加新规则。
删除	单击以删除规则。
上/下	单击以向上或向下移动规则。
测试	单击以测试规则。
启用启发式规则检测	也启用以允许启发式检测。
没有URL重写规则	启用以不选择任何规则。

扫描设置–预请求脚本

在此“扫描设置”选项卡中，您可以配置扫描的“预请求脚本”选项。

字段	描述
已启用	选择启用预请求脚本。启用后，“预设”下拉列表将被激活。
预设值	这使您可以选择HMAC选项并查看相关脚本。
测试脚本	这使您可以测试新脚本。

认证–表格

在此选项卡中，您可以配置表单身份验证选项。

字段	描述
已启用	选择以启用表单身份验证。
登录表单网址	输入登录表单的绝对URL，包括协议（http或https）。
自定义脚本	完成登录表单URL字段后，将启用“自定义脚本”按钮。单击“自定义脚本”以打开对话框。显示浏览器窗口以及脚本编辑器和Google Chrome浏览器开发人员工具。
激活	选择以激活其中一个角色（一旦输入用户名和密码凭据）。
用户名	输入表单的用户名。
密码	输入表格的密码。
一次性密码	单击省略号以打开“ OTP设置”对话框。
交互式登录（请检查OTP，CAPTCHA等）	选择以启用交互式登录，例如OPT和CAPTCHA。这将在登录期间显示该网页，以允许用户输入（用于两因素和其他身份验证机制）。
用经过身份验证的页面覆盖目标URL	选择此选项可将身份验证过程中的最后一页用作起始URL。Netsparker不会向指定的目标URL发出请求。
检测身份验证令牌	如果登录后有AJAX请求，请选择以在扫描期间自动拦截身份验证令牌。
验证登录和注销	创建角色之后，单击以验证所有详细信息。

身份验证–基本，NTLM / Kerberos

在此选项卡中，可以配置基本，摘要和NTLM / Kerberos选项。

领域	描述
已启用	选择启用基本，摘要和NTLM / Kerberos身份验证。
测试证书	单击以测试配置的设置。
类型	从下拉菜单中选择一种类型。选项包括：- 基本的；- NTLM；- 的Kerberos；- 消化；- 谈判
URL前缀	输入前缀以指定身份验证类型的范围。例如：https：//www.example.com/protected。
用户名	这是表单的用户名。
密码	这是表格的密码。
域	输入Windows系统域名的值（而不是站点的主机名）。这是个可选的选项。
删除行	右键单击任何行，然后选择删除。
基本身份验证	即使服务器未发送身份验证质询，也请选择启用身份验证。

身份验证–标头

在此选项卡中，您可以配置HTTP标头身份验证。

领域	描述
已启用	单击以启用标头身份验证。所有列出的标头都添加到所有HTTP请求中。
添加授权标题	单击以显示“添加授权HTTP标头”对话框。
删除	选择任何标题行，然后单击以删除。
类型	在“添加授权HTTP标头”对话框中，从“类型”下拉列表中选择一个项目。选项包括：- 承载（默认）;- HOBO ;- mutual;- OAuth;- SCRAM-SHA-1;- SCRAM-SHA-256;所选选项将显示在“名称”列中。
证书	输入相关凭证。输入的内容将显示在“值”列中。
名称	此列显示在“添加授权标题”对话框中输入的类型。
值	此列显示在“添加授权标题”对话框中输入的凭据。

身份验证客户端证书

在此选项卡中，您可以配置客户端证书身份验证。

领域	描述
已启用	选择以启用客户端证书认证。启用后，可以单击“添加新”按钮。
添加新的	单击以显示“要安装的证书”对话框。选择文件，然后单击“打开”。

身份验证–智能卡

在此选项卡中，您可以配置智能卡身份验证。

领域	描述
已启用	选择以启用智能卡身份验证。启用后，可以单击“导入智能卡证书”按钮。（如果启用了“客户端证书身份验证”，则可能会显示“启用客户端证书身份验证”对话框，提醒您，如果继续，它将被禁用。您也可以手动禁用它。）
导入智能卡证书	单击以显示“导入智能卡证书”对话框。从“智能卡库”列表中选择一个驱动程序，然后单击“导入”。包含所选证书的智能卡应该已经在系统中配置。
删除	选择任何行，然后单击以删除。

身份验证– OAuth2

在此标签中，您可以配置OAuth2身份验证。

领域	描述
已启用	选择以启用OAuth2身份验证。启用后，将激活“流类型”字段。
测试证书	单击以测试配置的设置。
流型	OAuth2流类型在RFC-6749中定义。从此下拉菜单中选择：- 授权码；- 客户凭证；- 隐含的；- 资源所有者密码凭证；- 自订选择一个选项后，其他字段将被激活。
认证方式	选择OAuth2端点所需的身份验证类型。从此下拉菜单中选择：- 没有- 表格认证- 基本，摘要，NTLM / Kerberos身份验证
访问令牌	在此选项卡中，您可以配置向访问令牌端点发出请求以检索OAuth2访问令牌所需的参数。
终点（访问令牌和授权代码选项卡）	从此下拉菜单中选择一个选项：- 网址；- 内容类型；- 应用程序/ x-www-form-urlencoded；- 应用程序/ json；- 方法– GET或POST
名称（访问令牌和授权代码选项卡）	输入请求参数的名称。
值（访问令牌和＆授权代码选项卡）	输入请求参数的值。
授权码	在此选项卡中，您可以配置向授权码端点发出请求以检索授权码所需的参数。仅当选定的流类型为授权码时，此选项卡才可见。
回应栏位	在此选项卡中，您可以设置以下选项：1. 访问令牌–访问令牌的字段名称将从OAuth2端点中检索。2. 刷新令牌–刷新令牌的字段名称将从OAuth2端点中检索。如果响应中不包含此字段，请将其留空。3.Expire –令牌过期值的字段名称将从OAuth2端点检索。如果响应中不包含此字段，请将其留空。4.令牌类型–令牌类型值的字段名称将从OAuth2端点检索。访问令牌将与此OAuth2标头一起发送。如果未提供令牌类型，则Netsparker将使用Bearer作为标题。

身份验证–手动身份验证

在此选项卡中，您可以配置手动身份验证。

领域	描述
已启用	选择以启用手动身份验证。启用后，可以单击“身份验证设置”和“注销检测”字段。
测试证书	单击以测试配置的设置。
验证设定	本节包含身份验证设置选项。
添加	单击以添加新链接。
编辑	单击以编辑选定的链接。
删除	单击以删除选定的链接。
清除	单击以清除导入的链接。
搜索	单击以切换查找面板。
从文件导入	单击以从下拉列表中选择文件类型。
输入链接	单击以手动输入链接。
方法	这是认证方法。
网址	这是网站地址。
注销检测	本节包含注销检测选项。
None	如果您不希望注销检测，则此选项。
基于重定向	这可以通过输入重定向URL来启用基于重定向的检测。
基于关键字	通过输入关键字模式并选中Is Regex，可以启用基于关键字的检测。