Acunetix Web Vulnerability Scanner

基本内容

Acunetix Web Vulnerability Scanner

网站威胁

多达 70% 的网络站点存在漏洞，可能会导致公司的敏感数据（例如：信用卡信息和客户列表等）失窃。

黑客正将其精力集中在基于 web 的应用程序上——购物车、表格、登录页面、动态内容等。在世界各地可全天候访问且不安全的 web 应用程序提供对企业后台数据库的轻松访问。

防火墙、SSL 和锁定的服务器无法抵御针对 web 应用程序的黑客攻击！

来自于 80/443 端口的 web 应用程序攻击，直接穿过防火墙，通过操作系统和网络级别安全，并且正中您应用程序和企业数据的要害。定制的 web 应用程序通常未经过充分测试，含有未检测出的漏洞，因此容易成为黑客的猎物。

Acunetix Web Vulnerability Scanner 的功能

AcuSensor 技术

自动的客户端脚本分析器，允许对 Ajax 和 Web 2.0 应用程序进行安全性测试。

业内最先进且深入的 SQL 注入和跨站脚本测试

高级渗透测试工具，例如 HTTP Editor 和 HTTP Fuzzer

可视化宏记录器帮助您轻松测试 web 表格和受密码保护的区域

支持含有 CAPTHCA 的页面，单个开始指令和 Two Factor（双因素）验证机制

丰富的报告功能，包括 VISA PCI 依从性报告

高速的多线程扫描器轻松检索成千上万个页面

智能爬行程序检测 web 服务器类型和应用程序语言

Acunetix 检索并分析网站，包括 flash 内容、SOAP 和 AJAX

端口扫描 web 服务器并对在服务器上运行的网络服务执行安全检查

可导出网站漏洞文件

功能介绍

对于 Web 应用程序黑客来说，防火墙，SSL 及锁定服务器等方法都是徒劳的。

针对 Web 应用程序的攻击，是通过 80/443 端口，直行穿过防火墙，操作系统和网络级的安全设备，以及进入您的应用程序和企业数据的中心。量身定制的 Web 安全设备往往不够测试出一些还未发现的漏洞，因此容易成为黑客攻击目标。

在黑客下载敏感数据之前检查你的网站是否安全，黑客使用你的网站作为一个发射台进行犯罪，并危及您的业务。Acunetix 网络漏洞扫描器（WVS）抓取您的网站，自动分析您的 Web 应用程序，并发现危险的 SQL 脚本注入，跨站脚本和其他脚本注入暴露了你的网上业务。简明报告确定 Web 应用程序需要被固定，从而使您能够保护您的企业免受即将发生的黑客攻击！

Acunetix -在 Web 应用安全领域的一个全球性的领导者

Acunetix 开创了网络应用安全扫描技术：它的工程师们潜心研究网络安全。早在 1997 年制定了一项工程率先进行网站的弱点分析和漏洞检测。Acunetix 网络漏洞扫描器包含了许多创新的特点：

l 创新 AcuSensor 技术，通过使用从它传感器放置在源代码中的反馈结合黑盒扫描技术，它可以实现精确的扫描，低误报。

l 自动的 JavaScript 分析器允许用于 Ajax 安全测试和 Web2.0 应用程序。

l 业界最先进，最深入的 SQL 注入和跨站脚本测试。

l 视觉宏记录器使 Web 表单测试和密码保护区更容易。

l 多线程和能够抓取几十万页没有中断快的如闪电的扫描。

l Acunetix WVS 理解复杂的 Web 技术，如 SOAP，XML，AJAX 和 JSON。

深入检查 SQL 注入和跨站脚本（XSS）漏洞

AcunetixWVS 检查所有的网络漏洞，包括 SQL 注入，跨站脚本和其他。SQL 注入是一种黑客技术，它会修改 SQL 查询，以访问数据库中的数据。在你访问的浏览器上跨站脚本攻击允许黑客执行恶意脚本。

检测这些漏洞，需要一个复杂的检测引擎。网络漏洞扫描最重要的不是一台扫描仪可以检测攻击的数量，而是复杂和彻底的扫描启动 SQL 注入，跨站脚本和其他攻击。

创新 AcuSensor 技术保证低误报

Acunetix 拥有自带的使用创新 AcuSensor 技术漏洞检测引擎的最高水平。这是一个独特的安全技术，能够快速发现漏洞与少量误报，表明其中的漏洞是在代码和报告调试信息里。它也位于 CRLF 注入，代码执行，目录遍历，文件包含，验证漏洞等等。

扫描 AJAX 和 Web 2.0 技术的漏洞

最高水平的 CSA（客户端脚本分析器）引擎的状态可以让您全面扫描最新的和最复杂的 AJAX/Web 2.0 网络应用程序。Acunetix WVS 了解 SOAP，XML，AJAX 和 JSON。

测试密码保护区和使用自动 Web 表单填充的 Web 窗体

Acunetix 网络漏洞扫描器能够自动填写网页表单和验证 Web 登录。大多数 Web 漏洞扫描器是无法做到这一点，或者需要复杂的脚本来测试这些页面。没有这样的 Acunetix：使用宏录制工具登录序列记录，可以记录登录序列，填写表单程序或特定的爬行顺序。扫描仪将在扫描过程中重播这个序列并填写网页表单，并自动登录到受密码保护的区域。

多个网站在任何时候，任何地方安都能调度扫描仪

Acunetix 给你提供同时最多 10 个网站的扫描，在同一台计算机上通过启动扫描程序的多个实例。因此，扫描性能显著增加。您可能会决定调度扫描仪时，该网站是不太忙，例如在晚上。此外，门户网站可以让你登录，调度扫描和随时获取来自任何地方的结果。

详细报告可让您满足法律和符合法规

Acunetix 网络漏洞扫描器包括一个广泛的可以生产报告的报告模块，可以显示你的 Web 应用程序是否符合 PCIDSS 数据合规性要求。它还报告是否从 OWASP Top 10 发现任何漏洞。OWASP 是一 Web 应用程序安全组织，在网络安全漏洞方面公认在互联网上排名前 10 位。Acunetix 检查你的 Web 应用程序是否符合 NIST 特别出版物 800-53，以及 DISA 应用安全与 STIG 指引发展。还有一个报告，显示你的网站是否在 CWE/ SANS Top25 里最危险的软件错误中的错误列表里。

针对谷歌的黑客数据库分析您的网站

谷歌黑客数据库（GHDB）是黑客用来确定在您的网站，如门户网站的登录页面，网络安全信息日志等敏感信息查询的数据库。

Acunetix 推出的谷歌黑客数据库查询到你的网站抓取敏感数据内容或在搜索引擎黑客可利用的目标之前。

自定义 404 错误页面的自动识别

Acunetix WVS8 可以自动判断是否自定义错误页是在使用中，并确定它在扫描前进行配置而无需任何识别模式。

一个 Web 应用防火墙的自动配置

AcunetixWVS 可以自动创建相应的 Web 应用防火墙规则来保护 Acunetix 发现的 Web 应用程序对目标漏洞的攻击。这使您可以继续以安全的方式使用您的 Web 应用程序，直到你能够在代码级别修复这些漏洞。Acunetix 目前支持主流 Imperva Web 应用防火墙。

端口扫描和网络警报

Acunetix 网络漏洞扫描器也运行一个可选的端口扫描攻击的 Web 服务器，网站托管和自动识别网络服务在一个开放的端口上运行，推出了一系列针对该网络服务的网络安全测试。定制的网络警报也可以通过以下 Acunetix 所提供的详细 SDK 文档进行开发。

ship 产品的安全性检查：测试 FTP 弱密码，SQL 服务器，IMAP，POP3，Socks，SSH，Telnet 和像开放区域传输其他 DNS 服务器漏洞，开放递归，缓存中毒，以及 FTP 接入测试，如是否允许匿名访问和可写的 FTP 目录，安全检查配置不当的代理服务器，检查是否有弱 SNMP 社群字符串，检查弱 SSL 密码，和许多其他先进的安全检查列表！

高级渗透测试工具包括

除了它的自动扫描引擎，Acunetix 包含先进的工具，使渗透测试人员来微调 Web 应用程序的安全审计：

l HTTP 编辑器 - 创建 HTTP /HTTPS 请求并分析 Web 服务器的响应。

l HTTP 嗅探器 - 拦截，记录和修改所有的 HTTP /HTTPS 流量，并显示了一个 Web 应用程序发送的所有数据。

l HTTP Fuzzer -执行复杂的模糊化测试，测试 Web 应用程序的输入验证和处理意外的和无效的随机数据。用容易使用 HTTP Fuzzer 的规则生成器测试数以千计的输入参数。这将需要数天来手动进行测试，现在可以在几分钟内完成。

l 脚本自定义 Web 漏洞的攻击用 WVS 脚本工具。脚本 SDK 文档可从 Acunetix 网站下载。

l 盲 SQL 注入 -一个自动化的数据库数据抽取工具，是渗透测试人员想进一步手动测试的理想工具。

更先进的功能

l 检测 HTTP 参数污染（HPP）的漏洞。

l 支持自动扫描自定义 HTTP headers。

l 支持多 HTTP 身份验证证书。

l 扫描配置文件能够轻松地扫描不同的扫描选项和不同身份的网站。

l 自定义报表生成器。

l 比较扫描，发现与以前的扫描分歧。

l 重新扫描功能轻松地重新审核网站的变化。

l 支持验证码，单点登录和双因素认证机制。

l 检测弱权限的目录和如果启用了危险的 HTTP 方法。

l 生成罕见的 HTTP 响应列表，例如内部服务器错误，HTTP 500 等

l 自定义误报列表。

l Web 服务器配置的安全审计。

l IIS 7 直接从 web.config.fil 重写规则自动输入。

l 能够重新扫描特定的漏洞，以便验证修复。

l 自动化文件上传表单漏洞测试。

版本可用

Acunetix 网络漏洞扫描有五种版本：适用于指定网站的小型企业版，允许扫描无限数量自己公司网站的企业版，允许您使用 AcunetixWVS 进行渗透测试第三方顾问版。无论是企业和顾问版本可以使用可选的功能，同时扫描至少 10 个网站。