CVSS評(píng)分系統(tǒng)中規(guī)定：漏洞的最終得分最大為10，最小為0 。得分7-10分的漏洞通常被認(rèn)為比較嚴(yán)重，得分在4-6.9分之間的是中級(jí)漏洞，0-3.9分的則是低級(jí)漏洞 。其中，7~10分的漏洞都是必須要修復(fù)的 。
下圖展示的是CVSS計(jì)算指標(biāo)：
- 在Scans頁面選擇報(bào)告類型，點(diǎn)擊導(dǎo)出
- 在Reports頁面可選擇要下載的報(bào)告格式類型，包括pdf和html AWVS在掃描結(jié)束后還可以根據(jù)不同要求不同閱讀方式，可生成不同類型的報(bào)告和細(xì)則，然后點(diǎn)擊導(dǎo)出報(bào)告圖標(biāo)即可導(dǎo)出此次安全掃描報(bào)告 。
4.1 SQL盲注/SQL注入驗(yàn)證方法：利用sqlmap，GET、POST方式可以直接sqlmap -u url，cookie SQL注入新建txt文檔把請(qǐng)求包大數(shù)據(jù)復(fù)制粘貼到里面，再利用sqlmap -r xxx.txt，查尋是否存在注入點(diǎn) 。
sqlmap使用教程可參考：
https://www.acunetix.com/vulnerability-scanner/
4.2 CSRF跨站偽造請(qǐng)求攻擊CSRF，利用已登錄的用戶身份，以用戶的名義發(fā)送惡意請(qǐng)求，完成非法操作 。
舉例說明：用戶如果瀏覽并信任了存在CSRF漏洞的網(wǎng)站A，瀏覽器產(chǎn)生了相應(yīng)的cookie，用戶在沒有退出該網(wǎng)站的情況下，訪問了危險(xiǎn)網(wǎng)站B。危險(xiǎn)網(wǎng)站B要求訪問網(wǎng)站A，發(fā)出一個(gè)請(qǐng)求 。瀏覽器帶著用戶的cookie信息訪問了網(wǎng)站A，因?yàn)榫W(wǎng)站A不知道是用戶自身發(fā)出的請(qǐng)求還是危險(xiǎn)網(wǎng)站B發(fā)出的請(qǐng)求，所以就會(huì)處理危險(xiǎn)網(wǎng)站B的請(qǐng)求，這樣就完成了模擬用戶操作的目的 。
驗(yàn)證方法：
4.5 文件信息泄露開發(fā)人員很容易上傳一些敏感信息如：郵箱信息、SVN信息、內(nèi)部賬號(hào)及密碼、數(shù)據(jù)庫連接信息、服務(wù)器配置信息，導(dǎo)致文件信息泄露 。
5. 總結(jié)AWVS給出的掃描結(jié)果并不代表完全真實(shí)可靠，還需要依靠人工再次驗(yàn)證判斷 。在AWVS掃描結(jié)果基礎(chǔ)上，根據(jù)不同的嚴(yán)重級(jí)別進(jìn)行排序、手工+工具驗(yàn)證的方式對(duì)漏洞驗(yàn)證可靠性，排除誤報(bào)的情況，并盡可能找出漏報(bào)的情況，把本次掃描結(jié)果匯總，對(duì)以上已驗(yàn)證存在的安全漏洞排列優(yōu)先級(jí)、漏洞威脅程度，并提出每個(gè)漏洞的修復(fù)建議 。總的來說我們可以借助這個(gè)工具來進(jìn)行掃描分析，但不能完全依賴于這個(gè)工具 。
推薦閱讀
- 手機(jī)定位咋查一個(gè)人位置 查手機(jī)定位找人軟件軌跡
- Facebook用戶達(dá)30多億，碾壓微信11.5億 Facebook是什么軟件
- 查找蘋果手機(jī)位置 蘋果手機(jī)下載什么軟件查手機(jī)號(hào)碼定位系統(tǒng)
- 亞馬遜面部識(shí)別軟件引爭(zhēng)議 議員要求給個(gè)解釋
- QQ怎么盜號(hào)軟件被盜號(hào)怎么辦
- 電腦怎么設(shè)置默認(rèn)看圖軟件
- 查看好友聊天記錄軟件 如何遠(yuǎn)程查看別人微信聊天記錄
- 慕心是什么軟件
- 蘋果手機(jī)丟了如何查找手機(jī)位置 蘋果手機(jī)下載什么軟件查手機(jī)號(hào)碼定位
- 蘋果手機(jī)位置在哪里？ 蘋果手機(jī)下什么軟件可以查歷史定位