今天給大家介紹的是一款名叫nagascan的針對web應用程式的分布式被動漏洞掃瞄器，nagascan目前支援包括xss、sql注入、以及檔案包含等漏洞。
nagascan的執行機制
首先nagascan會設定乙個**，例如web瀏覽器**或移動wi-fi**。隨後目標web應用的網路流量副本會被傳到nagascan的**資料庫中進行解析處理，接下分布式掃瞄器便會自動分配nagascan來掃瞄常見的web應用安全漏洞。
工具及元件要求
web控制台
sudo pip install mysql-connector
sudo pip install jinja2
sudo pip install bleach
掃瞄器sudo apt-get install python-pip python-devlibmysqlclient-dev
sudo pip install requests
sudo pip install mysql-python
sudo pip install -u selenium
sudo apt-get install libfontconfig
**sudo apt-get install python-pip python-devlibmysqlclient-dev
sudo pip install mysql-python
安裝與配置
資料庫1. 安裝mysql，建立乙個資料庫使用者名稱，並設定密碼，例如root/toor;
2. 為nagascan建立乙個資料庫，使用命令：source schema.sql
web控制台
1. 使用我們自己的資料庫配置資訊修改web控制台的配置檔案www/config_override.py：
configs = {
'db': {
'host':'127.0.0.1',
'user':'root',
'password':'toor'
2. 執行下列命令開啟web控制台：
sudo python www/wsgiapp.py
掃瞄器1. 用我們自己的資料庫配置資訊修改掃瞄器的配置檔案scanner/lib/db_operation.py：
def db_conn():
try:
user ="root"
pwd ="toor"
hostname ="127.0.0.1"
2. 安裝phantomjs
linux 64位：
wget
tar -jxvfphantomjs-2.1.1-linux-x86_64.tar.bz2
linux 32位：
wget
tar -jxvf phantomjs-2.1.1-linux-i686.tar.bz2
3. 按照下列**修改scanner/lib/hack_requests.py的第28行**：
self.executable_path='[your own phantomjs binary path]' #e.g. /home/ubuntu/phantomjs-2.1.1-linux-x86_64/bin/phantomjs
4. 執行下列命令啟動掃瞄器：
掃瞄檔案包含漏洞
python scanner/scan_fi.py
掃瞄xss漏洞
python scanner/scan_xss.py
掃瞄sql注入漏洞
python scanner/scan_sqli.py
**&解析器
1. 安裝mitmproxy
ubuntu 16.04(首選)：
sudo apt-get install python3-dev python3-pip libffi-devlibssl-dev
sudo pip3 install mitmproxy
ubuntu 14.04：
sudo apt-get install python-pip python-dev libffi-devlibssl-dev libxml2-dev libxslt1-dev libjpeg8-dev zlib1g-dev
sudo pip install "mitmproxy==0.18.2"
macos：
brew install python3
brew install mitmproxy
2. 執行下列命令開啟**
mi***ump -p 443 -s "proxy/proxy_mitmproxy.py/tmp/logs.txt"
3. 用我們自己的資料庫配置資訊修改解析器的配置檔案parser/lib/db_operation.py：
def db_conn():
try:
user ="root"
pwd ="toor"
hostname ="127.0.0.1"
4. 執行下列命令開啟解析器：
python parser/parser_mitmproxy.py /tmp/logs.txt
工具的使用
使用預設的使用者名稱和密碼([email protected]/naga5c@n)訪問web控制台，完成一些基本的配置並增加sqlmap伺服器：
操作步驟
1. 為瀏覽器或移動裝置安裝mitmproxy證書
2. 新增乙個**(web瀏覽器或移動wi-fi)
3. 使用瀏覽器訪問目標**，或在移動裝置上使用待測試的app
4. 祝大家好運!
網路應用 web應用
world wide web tim berners lee 網頁 網頁互相鏈結 網頁 web page 包含多個物件 objects 物件的定址 addressing url uniform resoure locator 統一資源定位器 rfc1738 scheme host port path...
針對Web伺服器總體優化
一 檔案系統 在fstab裡加入noatime，如 cat etc fstab dev sda1 home ext3 noatime,defaults 1 2 reboot或者重新mount生效 二 tcp優化 在 etc sysctl.conf裡加入 net.ipv4.netfilter.ip c...
針對Web伺服器總體優化
一 檔案系統 在fstab裡加入noatime，如 cat etc fstab dev sda1 home ext3 noatime,defaults 1 2 reboot或者重新mount生效 二 tcp優化 在 etc sysctl.conf裡加入 net.ipv4.netfilter.ip c...