Netsparker Standard怎么样创建新扫描
创建新扫描
Netsparker使您可以通过选择默认扫描设置立即开始扫描Web应用程序。
但是,有多个可自定义的扫描选项。以下各节说明了每个选项。
Netsparker Standard新扫描字段
下表列出并说明了“启动新网站或Web服务扫描”对话框中的字段。
字段 | 描述 |
---|---|
目标网站或Web服务URL | 这是网站或Web服务的目标URL。 |
扫描资料 | 这是扫描配置文件。 |
Netsparker Standard扫描选项字段
本节列出并说明了“启动新网站或Web服务扫描”对话框的“选项”部分中的字段,该对话框又分为两个部分:
- 扫描设定
- 认证方式
扫描设置–常规
在此选项卡中,您可以配置基本扫描选项。
字段 | 描述 |
---|---|
扫描政策 | 扫描策略定义扫描设置以及将执行的安全测试。您还可以定义扫描策略,以便执行PCI Checks测试。 |
报告政策 | 报告策略定义了如何报告扫描结果。 |
自定义Cookie | 它包含任何必需的cookie,格式为cookiename = value。Netsparker Standard中所有已配置的cookie随每个HTTP请求一起发送,并且服务器响应不能过期。要添加自定义Cookie,请 在“常规”选项卡的“扫描策略” 的“ 自定义Cookie”部分中键入该Cookie及其值。该值必须经过URL编码。使用分号(;)分隔多个cookie。例如:CookieName1 = Value1; CookieName2 = Value2; CookieName3 =值3 |
爬行 | 这表明扫描应如何搜寻目标URL。选项包括:- 查找并关注新链接;- 同时启用抓取和攻击 |
扫描设置–范围
在此选项卡中,您可以配置扫描范围,RegEx表达式和HTTP方法。
此外,您还可以:
- 输入正则表达式列表以排除或包括URL
- 选择扫描仪应包含还是排除RegEx模式
- 指定不允许的HTTP方法
字段 | 描述 |
---|---|
范围 | “扫描范围”设置使您可以指定应爬网和扫描目标网站的哪些部分。 |
使用RegEx排除URL | 选择包括或排除,然后输入正则表达式。 |
不允许的HTTP方法 | 选择要禁止的HTTP方法。Netsparker不会针对所选方法发出HTTP请求。 |
扫描设置其他网站
在此选项卡中,您可以将其他链接添加到需要扫描的域,而不是目标URL的域。
字段 | 描述 |
---|---|
网址 | 输入其他URL。 |
规范 | 选择“规范”以扫描规范的URL,以防止扫描重复的页面。 |
扫描设置–导入的链接
在此选项卡中,您可以添加也要扫描的,未从目标网站上的任何位置链接的URL。
字段 | 描述 |
---|---|
方法 | 输入HTTP方法,例如GET或POST。 |
网址 | 输入添加或导入的页面的URL以进行扫描。 |
添加 | 单击以打开“添加新链接”对话框。 |
编辑 | 单击以编辑添加或导入的URL。 |
删除 | 单击以删除添加或导入的URL。 |
清除 | 单击以删除所有添加或导入的URL。 |
搜索 | 单击以搜索添加或导入的URL。 |
从文件导入 | 单击以从文件导入URL。 |
输入链接 | 单击打开“输入链接/ HTTP请求”对话框。 |
扫描设置– URL重写
在此选项卡中,您可以配置扫描的URL重写规则。
- 启发式模式,自动检测URL
- 自定义模式,用于配置URL重写规则以加快扫描速度
字段 | 描述 |
---|---|
使用启发式URL重写支持 | 启用以自动检测目标网站上的URL重写并创建规则。所有字段都是可配置的。 |
根路径最大动态签名 | 如果根路径中的URL块包含的项目超过此限制,则将其标识为URL重写参数。必须介于1到10,000之间。显示此字段以进行启发式设置。 |
子路径最大动态签名 | 如果子路径中的URL块包含的项目超过此限制,则将其标识为URL重写参数。必须介于1到10,000之间。显示此字段以进行启发式设置。 |
块分离器 | 包含用于将URL拆分为块的分隔符。显示此字段以进行启发式设置。 |
可分析的扩展 | 如果URL包含文件扩展名,则仅当相应的扩展名在此列表中时才会进行分析。显示此字段以进行启发式设置。 |
使用自定义URL重写规则 | 启用以配置URL规则以进行更快的扫描。 |
New | 单击以添加新规则。 |
删除 | 单击以删除规则。 |
上/下 | 单击以向上或向下移动规则。 |
测试 | 单击以测试规则。 |
启用启发式规则检测 | 也启用以允许启发式检测。 |
没有URL重写规则 | 启用以不选择任何规则。 |
扫描设置–预请求脚本
在此“扫描设置”选项卡中,您可以配置扫描的“预请求脚本”选项。
字段 | 描述 |
---|---|
已启用 | 选择启用预请求脚本。启用后,“预设”下拉列表将被激活。 |
预设值 | 这使您可以选择HMAC选项并查看相关脚本。 |
测试脚本 | 这使您可以测试新脚本。 |
认证–表格
在此选项卡中,您可以配置表单身份验证选项。
字段 | 描述 |
---|---|
已启用 | 选择以启用表单身份验证。 |
登录表单网址 | 输入登录表单的绝对URL,包括协议(http或https)。 |
自定义脚本 | 完成登录表单URL字段后,将启用“自定义脚本”按钮。单击“自定义脚本”以打开对话框。显示浏览器窗口以及脚本编辑器和Google Chrome浏览器开发人员工具。 |
激活 | 选择以激活其中一个角色(一旦输入用户名和密码凭据)。 |
用户名 | 输入表单的用户名。 |
密码 | 输入表格的密码。 |
一次性密码 | 单击省略号以打开“ OTP设置”对话框。 |
交互式登录(请检查OTP,CAPTCHA等) | 选择以启用交互式登录,例如OPT和CAPTCHA。这将在登录期间显示该网页,以允许用户输入(用于两因素和其他身份验证机制)。 |
用经过身份验证的页面覆盖目标URL | 选择此选项可将身份验证过程中的最后一页用作起始URL。Netsparker不会向指定的目标URL发出请求。 |
检测身份验证令牌 | 如果登录后有AJAX请求,请选择以在扫描期间自动拦截身份验证令牌。 |
验证登录和注销 | 创建角色之后,单击以验证所有详细信息。 |
身份验证–基本,NTLM / Kerberos
在此选项卡中,可以配置基本,摘要和NTLM / Kerberos选项。
领域 | 描述 |
---|---|
已启用 | 选择启用基本,摘要和NTLM / Kerberos身份验证。 |
测试证书 | 单击以测试配置的设置。 |
类型 | 从下拉菜单中选择一种类型。选项包括:- 基本的;- NTLM;- 的Kerberos;- 消化;- 谈判 |
URL前缀 | 输入前缀以指定身份验证类型的范围。例如:https://www.example.com/protected。 |
用户名 | 这是表单的用户名。 |
密码 | 这是表格的密码。 |
域 | 输入Windows系统域名的值(而不是站点的主机名)。这是个可选的选项。 |
删除行 | 右键单击任何行,然后选择删除。 |
基本身份验证 | 即使服务器未发送身份验证质询,也请选择启用身份验证。 |
身份验证–标头
在此选项卡中,您可以配置HTTP标头身份验证。
领域 | 描述 |
---|---|
已启用 | 单击以启用标头身份验证。所有列出的标头都添加到所有HTTP请求中。 |
添加授权标题 | 单击以显示“添加授权HTTP标头”对话框。 |
删除 | 选择任何标题行,然后单击以删除。 |
类型 | 在“添加授权HTTP标头”对话框中,从“类型”下拉列表中选择一个项目。选项包括:- 承载(默认);- HOBO ;- mutual;- OAuth;- SCRAM-SHA-1;- SCRAM-SHA-256;所选选项将显示在“名称”列中。 |
证书 | 输入相关凭证。输入的内容将显示在“值”列中。 |
名称 | 此列显示在“添加授权标题”对话框中输入的类型。 |
值 | 此列显示在“添加授权标题”对话框中输入的凭据。 |
身份验证客户端证书
在此选项卡中,您可以配置客户端证书身份验证。
领域 | 描述 |
---|---|
已启用 | 选择以启用客户端证书认证。启用后,可以单击“添加新”按钮。 |
添加新的 | 单击以显示“要安装的证书”对话框。选择文件,然后单击“打开”。 |
身份验证–智能卡
在此选项卡中,您可以配置智能卡身份验证。
领域 | 描述 |
---|---|
已启用 | 选择以启用智能卡身份验证。启用后,可以单击“导入智能卡证书”按钮。(如果启用了“客户端证书身份验证”,则可能会显示“启用客户端证书身份验证”对话框,提醒您,如果继续,它将被禁用。您也可以手动禁用它。) |
导入智能卡证书 | 单击以显示“导入智能卡证书”对话框。从“智能卡库”列表中选择一个驱动程序,然后单击“导入”。包含所选证书的智能卡应该已经在系统中配置。 |
删除 | 选择任何行,然后单击以删除。 |
身份验证– OAuth2
在此标签中,您可以配置OAuth2身份验证。
领域 | 描述 |
---|---|
已启用 | 选择以启用OAuth2身份验证。启用后,将激活“流类型”字段。 |
测试证书 | 单击以测试配置的设置。 |
流型 | OAuth2流类型在RFC-6749中定义。从此下拉菜单中选择:- 授权码;- 客户凭证;- 隐含的;- 资源所有者密码凭证;- 自订选择一个选项后,其他字段将被激活。 |
认证方式 | 选择OAuth2端点所需的身份验证类型。从此下拉菜单中选择:- 没有- 表格认证- 基本,摘要,NTLM / Kerberos身份验证 |
访问令牌 | 在此选项卡中,您可以配置向访问令牌端点发出请求以检索OAuth2访问令牌所需的参数。 |
终点(访问令牌和授权代码选项卡) | 从此下拉菜单中选择一个选项:- 网址;- 内容类型;- 应用程序/ x-www-form-urlencoded;- 应用程序/ json;- 方法– GET或POST |
名称(访问令牌和授权代码选项卡) | 输入请求参数的名称。 |
值(访问令牌和&授权代码选项卡) | 输入请求参数的值。 |
授权码 | 在此选项卡中,您可以配置向授权码端点发出请求以检索授权码所需的参数。仅当选定的流类型为授权码时,此选项卡才可见。 |
回应栏位 | 在此选项卡中,您可以设置以下选项:1. 访问令牌–访问令牌的字段名称将从OAuth2端点中检索。2. 刷新令牌–刷新令牌的字段名称将从OAuth2端点中检索。如果响应中不包含此字段,请将其留空。3.Expire –令牌过期值的字段名称将从OAuth2端点检索。如果响应中不包含此字段,请将其留空。4.令牌类型–令牌类型值的字段名称将从OAuth2端点检索。访问令牌将与此OAuth2标头一起发送。如果未提供令牌类型,则Netsparker将使用Bearer作为标题。 |
身份验证–手动身份验证
在此选项卡中,您可以配置手动身份验证。
领域 | 描述 |
---|---|
已启用 | 选择以启用手动身份验证。启用后,可以单击“身份验证设置”和“注销检测”字段。 |
测试证书 | 单击以测试配置的设置。 |
验证设定 | 本节包含身份验证设置选项。 |
添加 | 单击以添加新链接。 |
编辑 | 单击以编辑选定的链接。 |
删除 | 单击以删除选定的链接。 |
清除 | 单击以清除导入的链接。 |
搜索 | 单击以切换查找面板。 |
从文件导入 | 单击以从下拉列表中选择文件类型。 |
输入链接 | 单击以手动输入链接。 |
方法 | 这是认证方法。 |
网址 | 这是网站地址。 |
注销检测 | 本节包含注销检测选项。 |
None | 如果您不希望注销检测,则此选项。 |
基于重定向 | 这可以通过输入重定向URL来启用基于重定向的检测。 |
基于关键字 | 通过输入关键字模式并选中Is Regex,可以启用基于关键字的检测。 |
如何在Netsparker Standard中扫描网站
- 打开Netsparker Standard。
- 在首页标签中,点击新建。显示“启动新网站或新服务扫描”对话框。
- 在“ 目标网站或Web服务URL” 字段中,输入要扫描的网站的URL。
- 根据需要配置“ 扫描策略”,“ Netsparker标准扫描选项”字段和“ 身份验证”。
- 从抓取并等待下拉列表中,选择开始扫描。
- 扫描完成后,并且Netsparker Standard窗口在后台,将显示“扫描完成”信息对话框。
如何在Netsparker Standard中运行增量扫描
- 打开Netsparker Standard。
- 在首页标签中,点击增量。显示导入对话框。
- 选择已完成扫描的文件,然后单击“ 打开”。
- 扫描将被导入并显示在UI中,同时打开“开始新网站或Web服务扫描”对话框。
- 根据需要配置扫描策略,扫描选项字段和身份验证。
- 单击“ 增量扫描”。
如何在Netsparker Standard中运行重新测试
- 打开Netsparker Standard。
- 单击文件选项卡。显示“本地扫描”列表。
- 双击以选择要重新测试的扫描,然后等待扫描加载。 显示“ 漏洞”选项卡。
- 如果您希望:
重新测试整个扫描:
选择“ 站点地图” 面板顶部的扫描名称,右键单击并单击“全部重新测试”
重新测试一个漏洞:
在“ 问题” 面板中选择漏洞名称,右键单击并单击“ 重新测试”
如何在Netsparker Standard中运行受控扫描
- 打开Netsparker Standard。
- 单击文件 选项卡。显示“本地扫描”列表。
- 从以前的扫描列表中,单击要作为受控扫描运行的扫描,然后等待其加载。
- 选择“ 查看”选项卡,然后在功能区上单击“受控扫描”。显示“受控扫描”面板。
- 在“ 受控扫描” 面板中:
- 在“ 选择要扫描的参数”区域中,输入要扫描的页面或参数
- 或者,在“选择安全测试”中,选择要扫描的特定漏洞
- 点击开始。
如何在Netsparker Standard中启动Netsparker Standard的新实例
您可以一次打开Netsparker Standard的多个新实例,以便对每个实例运行不同的扫描。
- 打开Netsparker Standard。
- 在首页标签中,点击新建实例。Netsparker Standard的新实例启动。
- 显示新实例的“ 欢迎使用仪表板”。
在Netsparker Standard中恢复意外终止的扫描
Netsparker Standard具有内置的自动保存功能。如果扫描意外中断(例如,由于计算机重新启动),则可以重新加载部分扫描并继续扫描。
自动保存的文件存储在此文件夹中,并且每十五分钟保存一次进度:
My Documents\ Netsparker \Scans\ [WEBSITE-NAME]
创建的两个文件是:
- AutoSave.ndb
- AutoSave.nss
如果在扫描意外中断后启动Netsparker Standard,则扫描仪将自动恢复该扫描。
如何在Netsparker Standard中恢复意外终止的扫描
- 打开我的文档\ Netsparker \。
- 双击扫描文件夹。
- 通过名称和日期选择相关的扫描文件夹。
- 双击“ 自动保存Netsparker扫描会话”文件。Netsparker Standard将自动重新打开。
- 在快速访问工具栏上,单击“ 恢复扫描” 按钮,或者在“ 扫描” 选项卡中,单击“ 恢复”。意外终止的扫描将继续。
推荐文章: