Web应用安全系列：用WVS实施漏洞扫描

• 关 键 词：
• director
• web服务器
• web应用
• 漏洞扫描
• word

现在我们需要查找Passwords.txt漏洞。

1.单击“Look for the Passwords.txt Vulnerability”。

2.在参数部分，保留Affects 和 BindAlertToFile 的默认值，即分别是“set_by_module” and “1”。

3.在VulnXML部分，设定测试描述中下列字段的以下内容：

·Name: Look for Passwords.txt

·Affects: 文件

·Severity: High

·Alert: Success (i.e. alert is generated if file is found)

·Description: Search for passwords.txt file

·Impact: Contains sensitive information

·Recommendation: Delete the file

4.作为选择，在“References”选项卡中，设定Web上的漏洞参数：

·Database： Link Title

·URL： Full URL to the reference

5.在“Applicable”选项卡中，保留默认值，因为要独立于Web服务器和操作系统或所使用的技术检查文件。

6.在“variables”选项卡中设置测试的变量。目录检查模块要使用三个称为File、Test、Path的变量。

·File变量是通过扫描程序为其所发现的每一个目录自动设置的。

·Test变量是从以前所创建的漏洞参数中重新检索得到的。在我们的例子中，“Test”变量会包含“/Passwords.txt”，这是在增加一个新的漏洞参数（在我们的例子中，漏洞参数称为“The Pword file to be searched”）时设置的值。

·Path变量值是通过组合$file$test的值而设置的。

不过，因为我们已经创建了测试变量所涉及的漏洞项目，在此就没有必要改变了。

7.在Connection选项卡中，设置HTTP请求和此测试的成功/失败标准。在此例中既然没有必要做出任何特定的HTTP请求，可以保留“Connection”选项卡的默认值。

【深 度 阅 读】 相 关 文 章

• Ajax铺设了更好的开发Web应用道路(图)
• Java:Web应用下实现定时任务的简便方法
• 如何使用ajax开发web应用程序
• 在web应用中采用pdf+Struts+seesionBean+vo+dao提