UnisWASS网站应用安全扫描系统 v4.0 特别版

UnisWASS网站安全扫描系统，国舜科技研发UnisWebScanner网站应用安全扫描产品，对网站应用进行安全性检测的自动化工具，并提供相关问题的报表。通过使用UnisWebScanner产品为Web业务提供专家级应用安全检测和报表。
一、系统简介
　　随着各种各样的Web应用（电子商务、论坛、新闻、博客等）不断进入人们的生活，越来越多的动态元素被加入到Web建设中来。表单、登录、信息发布等动态内容允许访问者获得和提交动态的内容，如果这些Web应用存在不安全的隐患，那么整个数据库甚至是Web站点系统都会面临安全风险。据统计，目前75%的网络攻击行为都是通过Web来进行的。
　　对Web应用的安全性进行手工测试和审计是一项复杂且耗时的工作，不仅需要极大的耐心还需要专业的技术经验。对于一般的Web管理人员来说，基于安全的管理将占用大量工作时间。自动化的漏洞扫描工具能够大幅简化对于未知安全隐患的检测工作，有助于Web管理人员将精力转向如何处理安全风险上。
　　与其他传统扫描软件不同的是，UnisWebScanner 对广泛应用的 Web2.0 技术密切关注，并内嵌自动 javascript 解析器，支持复杂的 Web 应用（如 Ajax、SOAP、JavaScript、Flash等）。适用于通过internet、intranet、extranet进行网上交易或信息发布的大、中、小企业，如金融、证券、ZF、电子商务、电信运营商、基金、网游、科研院所等各类企事业单位。
　　 经过实践证明，UnisWebScanner网站安全扫描系统是Web安全性价比极高的产品，相比国外的Web安全扫描产品来说，检测速度快，并且具备紧密跟踪国内最新网马等信息的快速响应及更新能力；相比国内的Web安全扫描产品来说，功能多样，结果准确，效率更高，值得信赖。
二、功能特性
　　UnisWebScanner网站安全扫描系统是针对Web安全性进行弱点评估的智能检测系统，是多年深入研究当前各类流行Web攻击手段（如网页挂马攻击、SQL注入漏洞、跨站脚本攻击等）的经验结晶。UnisWebScanner 通过复杂的和全面的方法检测 Web 应用安全漏洞，通过并发爬虫审计技术对您的网站进行全面的、深入的、彻底的风险评估，综合性的规则库（本地漏洞库、ActiveX库、网页木马库、网站代码审计规则库等）以及业界最为领先的智能化爬虫技术及SQL注入状态检测技术，使得相比国内外同类产品智能化程度更高，速度更快，结果更准确。
　　2.1系统架构
　　系统架构如下图所示：
　　UnisWebScanner自动化工作方式如下：
　　 爬虫将参考robots.txt和sitemap.xml爬过整站链接，对网站结构进行树形展示。
　　对发现的每个页面进行检查和自动化扫描。
　　如果发现漏洞存在，UnisWebScanner显示相关的POST字段、HTTP响应头、影响链接及解决建议。
　　扫描完毕后，可以选择对存在的漏洞进行漏洞验证。如果漏洞真正存在，可通过手工检测可获得数据库的敏感信息。
　　对于每次的扫描任务，可以保存为工程，也可以打开已保存的工程继续扫描。
　　报告管理器提供专业的定制化报告。
　　2.2网站挂马检测
　　系统通过特征匹配及沙箱验证技术对网站页面进行分析，以检测页面是否被恶意攻击者植入网马。一般的扫描系统仅能通过页面代码特征进行关键字的匹配检测，而UnisWebScanner不仅包含了基于页面特征的检测方式更集成了验证页面行为的沙箱环境，能够准确判断出弹出式广告、浮动广告等在代码特征上类似挂马的非威胁内容，并且能够模拟用户访问页面时的内存及浏览器操作，使检出率显著提升，同时大大降低误报率。
　　2.3SQL注入漏洞检测及验证
　　系统使用了先进的基于状态检测的SQL注入漏洞扫描技术，不同于目前国内外产品常用的基于错误的简单检测技术，加上先进的向量比较算法，使得结果更加精确。
　　系统包含完整的SQL注入漏洞验证机制，采用基于状态检测的技术对数据库进行渗透，以验证漏洞可能对站点造成的风险威胁。验证系统支持任意语言编写的站点，同时支持反馈及不反馈错误信息的SQL注入漏洞验证。使得管理人员对站点的安全状况能够有真正准确的了解。
　　2.4XSS跨站脚本漏洞检测
　　 跨站脚本漏洞的危害越来越大，攻击者通过跨站攻击可以获得管理员、高级用户的信任关系，劫持用户的cookie验证状态，甚至可能直接执行有害的攻击代码。UnisWebScanner系统用够针对各种编码方式生成的变量进行跨站脚本漏洞检测，并将HTTP头及相关信息进行记录，对进一步分析漏洞的成因及危害性提供判断资料。
　　2.5其他风险漏洞检测
　　目前很多的网站基于内容管理系统(CMS)构建，但是攻击者往往通过寻找管理的方式来获得对后台的控制。管理检查功能用来检查网站管理设置是否安全，是否容易遭受攻击。
　　 系统支持SSL协议站点页面及使用证书的应用系统，如网上等。
　　系统支持扫描密码自动完成漏洞，即能够对非用户输入正确用户相关信息时产生的绕过认证机制获得访问权限的漏洞检测。
　　系统支持对站点敏感信息泄漏的检测，能够检查站点的错误提示页等是否将服务器及相关系统敏感信息泄漏。防止恶意攻击者利用相关信息对站点实施进一步攻击。
三、技术特性
　　3.1先进的网页抓取爬虫技术
　　UnisWebScanner系统的网页抓取模块采用先进的广度优先爬虫技术以及网站目录还原技术。广度优先的爬虫技术的不会产生爬虫陷入的问题，网站目录还原技术则去除了无关结果，提高抓取效率。同时，系统可针对同类型网页的策略进行设置，大大降低重复扫描工作。
　　3.2基于状态的SQL注入漏洞检测技术
　　不同于传统的针对错误反馈判断是否存在注入漏洞的方式，系统采用自主创新的状态检测机制。所谓状态检测，即针对某一链接输入不同的参数，通过对网站反馈的结果使用向量比较算法进行比对判断，从而确定该链接是否为注入点，此方法不依赖于特定的数据库类型、设置以及CGI语言的种类，对于注入点检测全面，避免了注入漏洞的漏报现象。
　　3.3沙箱与特征库相结合的挂马检测
　　系统集成了沙箱验证环境，即能够模拟真实的用户访问及网页运行环境，通过对网页在该环境中的运行状态来检测其行为，从而发现可疑的恶意代码，检测站点页面是否存在挂马现象。
　　3.4多种检测向量
　　系统集成了大量的站点安全测试用例，支持对多种向量进行检测，包含：SQL 注入、Blind SQL 注入、XSS、CSRF、远程文件包含(RFI)注入、服务器端包含(SSI)注入、本地文件包含(LFI)、OS 命令注入、不充分的认证、不充分的 session 过期、SSL 协议安全性、服务器错误配置、目录索引与枚举、目录遍历、URL 重定向攻击、Cookie 安全性、Ajax 审计、敏感文件枚举、敏感信息泄漏、网页挂马等。