| |
另一種結(jié)構(gòu)的掃描器是采用插件程序結(jié)構(gòu)�？梢葬槍�(duì)某一具體漏洞，編寫對(duì)應(yīng)的外部測(cè)試腳本。通過調(diào)用服務(wù)檢測(cè)插件，檢測(cè)目標(biāo)主機(jī)TCP/IP不同端口的服務(wù)，并將結(jié)果保存在信息庫中，然后調(diào)用相應(yīng)的插件程序，向遠(yuǎn)程主機(jī)發(fā)送構(gòu)造好的數(shù)據(jù)，檢測(cè)結(jié)果同樣保存于信息庫，以給其他的腳本運(yùn)行提供所需的信息，這樣可提高檢測(cè)效率。如，在針對(duì)某FTP服務(wù)的攻擊中，可以首先查看服務(wù)檢測(cè)插件的返回結(jié)果，只有在確認(rèn)目標(biāo)主機(jī)服務(wù)器開啟FTP服務(wù)時(shí)，對(duì)應(yīng)的針對(duì)某FTP服務(wù)的攻擊腳本才能被執(zhí)行。采用這種插件結(jié)構(gòu)的掃描器，可以讓任何人構(gòu)造自己的攻擊測(cè)試腳本，而不用去了解太多掃描器的原理。這種掃描器也可以用做模擬黑客攻擊的平臺(tái)。采用這種結(jié)構(gòu)的掃描器具有很強(qiáng)的生命力，如著名的Nessus就是采用這種結(jié)構(gòu)。這種網(wǎng)絡(luò)漏洞掃描器的結(jié)構(gòu)如圖2所示，它是基于客戶端/服務(wù)器(C/S)結(jié)構(gòu)，其中客戶端主要設(shè)置服務(wù)器端的掃描參數(shù)及收集掃描信息。具體掃描工作由服務(wù)器來完成。漏洞掃描器的發(fā)展趨勢(shì)
值得我們注意的是漏洞掃描軟件從最初的專門為UNIX系統(tǒng)編寫的一些只具有簡單功能的小程序，發(fā)展到現(xiàn)在，已經(jīng)出現(xiàn)了多個(gè)運(yùn)行在各種操作系統(tǒng)平臺(tái)上的、具有復(fù)雜功能的商業(yè)程序。今后的發(fā)展趨勢(shì)主要有以下幾點(diǎn)，我們可以根據(jù)實(shí)際Web信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的需求進(jìn)行選用：
1. 使用插件或者叫做功能模塊技術(shù)。每個(gè)插件都封裝一個(gè)或者多個(gè)漏洞的測(cè)試手段，主掃描程序通過調(diào)用插件的方法來執(zhí)行掃描。僅僅是添加新的插件就可以使軟件增加新功能，掃描更多漏洞。在插件編寫規(guī)范公布的情況下，用戶或者第三方公司甚至可以自己編寫插件來擴(kuò)充軟件的功能。同時(shí)這種技術(shù)使軟件的升級(jí)維護(hù)都變得相對(duì)簡單，并具有非常強(qiáng)的擴(kuò)展性。
2. 使用專用腳本語言。這其實(shí)就是一種更高級(jí)的插件技術(shù)，用戶可以使用專用腳本語言來擴(kuò)充軟件功能。這些腳本語言語法通常比較簡單易學(xué)，往往用十幾行代碼就可以定制一個(gè)簡單的測(cè)試，為軟件添加新的測(cè)試項(xiàng)。腳本語言的使用，簡化了編寫新插件的編程工作，使擴(kuò)充軟件功能的工作變得更加容易，也更加有趣。
3. 由漏洞掃描程序到安全評(píng)估專家系統(tǒng)。最早的漏洞掃描程序只是簡單地把各個(gè)掃描測(cè)試項(xiàng)的執(zhí)行結(jié)果羅列出來，直接提供給測(cè)試者而不對(duì)信息進(jìn)行任何分析處理。而當(dāng)前較成熟的掃描系統(tǒng)都能夠?qū)?duì)單個(gè)主機(jī)的掃描結(jié)果整理，形成報(bào)表，能夠并對(duì)具體漏洞提出一些解決方法。不足之處是對(duì)網(wǎng)絡(luò)的狀況缺乏一個(gè)整體的評(píng)估，對(duì)網(wǎng)絡(luò)安全沒有系統(tǒng)的解決方案。未來的安全掃描系統(tǒng)，應(yīng)該不但能夠掃描安全漏洞，還能夠智能化地協(xié)助網(wǎng)絡(luò)信息系統(tǒng)管理人員評(píng)估本網(wǎng)絡(luò)的安全狀況，給出安全建議，成為一個(gè)安全評(píng)估專家系統(tǒng)。
Web系統(tǒng)的風(fēng)險(xiǎn)等級(jí)評(píng)估
在實(shí)現(xiàn)了對(duì)Web信息系統(tǒng)的安全掃描后，便可根據(jù)掃描結(jié)果，對(duì)Web信息系統(tǒng)的安全性能進(jìn)行評(píng)估，從而給出Web信息系統(tǒng)的風(fēng)險(xiǎn)狀況。這里，風(fēng)險(xiǎn)評(píng)估的依據(jù)是根據(jù)掃描結(jié)果，根據(jù)Web信息系統(tǒng)所具有的漏洞數(shù)目及漏洞的危害程度，將Web信息系統(tǒng)的安全狀態(tài)進(jìn)行分級(jí)。
劃分的風(fēng)險(xiǎn)評(píng)估級(jí)別如下：
l.A級(jí)：掃描結(jié)果顯示沒有漏洞，但這并不表明系統(tǒng)沒有漏洞，因?yàn)橛性S多漏洞是尚未發(fā)現(xiàn)的，我們只能針對(duì)已知的漏洞進(jìn)行測(cè)試。
2.B級(jí)：具有一些泄漏服務(wù)器版本信息之類的不是很重要內(nèi)容的漏洞，或者提供容易造成被攻擊的服務(wù)，如允許匿名登錄，這種服務(wù)可能會(huì)造成許多其它漏洞。
3.C級(jí)：具有危害級(jí)別較小的一些漏洞，如可以驗(yàn)證某賬號(hào)的存在，可以造成列出一些頁面目錄、文件目錄等，不會(huì)造成嚴(yán)重后果的漏洞。
4.D級(jí)：具有一般的危害程度的漏洞。如拒絕服務(wù)漏洞,造成Web信息系統(tǒng)不能正常工作;可以讓黑客獲得重要文件的訪問權(quán)的漏洞等。
5.E級(jí)：具有嚴(yán)重危害程度的漏洞。如存在緩沖區(qū)溢出漏洞，存在木馬后門，存在可以讓黑客獲得根用戶權(quán)限或根用戶的shell漏洞,根目錄被設(shè)置一般用戶可寫等一些后果非常嚴(yán)重的漏洞。 本新聞共 3頁,當(dāng)前在第 2頁 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
