Paros proxy：網(wǎng)頁(yè)程序漏洞評(píng)估代理

首先，paros需要兩個(gè)端口：8080和8443,其中8080是代理連接端口，8443是SSL端口，所以必須保證這兩個(gè)端口并未其它程序所占用。（查看端口命令：開始—運(yùn)行—cmd—netstat，查看目前使用的端口）

然后配置瀏覽器屬性：打開瀏覽器（如IE），工具－選項(xiàng)－連接－LAN設(shè)置－選中proxy server,proxyname為：localhost,port為：8080。（很顯然這之后就不能通過瀏覽器直接上網(wǎng)了）

如果你的計(jì)算機(jī)運(yùn)行于防火墻之下，只能通過公司的代理億恩科技服務(wù)器訪問網(wǎng)絡(luò)，你還需要修改PAROS的代理設(shè)置，具體的方法是：打開paros-工具－Options-connection，修改”ProxyName” and “ProxyPort”兩項(xiàng)為代理億恩科技服務(wù)器的名稱和端口。

現(xiàn)在可以運(yùn)行paros進(jìn)行測(cè)試。

打開paros之后用瀏覽器就能上網(wǎng)了，運(yùn)行你要測(cè)試的web應(yīng)用，paros就會(huì)自動(dòng)抓取其中位于第一層的URL（比如首頁(yè)的URL），并顯示在左側(cè)的“site”欄中。選中一個(gè)URL，右鍵—spider，就能抓取所選層次下一層的所有URL。這樣可以把待測(cè)應(yīng)用的所有URL都抓取出來。

不過paros并不能識(shí)別一些特定的URL路徑，比如一些URL鏈接需要在合法登錄后才能被識(shí)別出來，因此在進(jìn)行URL抓取時(shí)，一定先要登錄網(wǎng)站。對(duì)于未能被識(shí)別出來的那些URL，可以手動(dòng)添加。打開paros—工具—manual request editor，輸入未被抓取的URLS，然后單擊SEND按鈕，完成手動(dòng)加入U(xiǎn)RL，添加成功后的URL將顯示在左側(cè)的“site”欄中。

所有URL被抓取出來之后就可以逐一進(jìn)行掃描了�？梢詫�(duì)單一URL進(jìn)行掃描，也可以對(duì)所有URLS進(jìn)行掃描。掃描的結(jié)果會(huì)被保存到本地固定目錄。

例如：

Report generated at Mon, 14 Dec 2009 11:19:21.

Summary of Alerts

Paros Scanning Report

Alert Detail

然后就可以對(duì)掃描結(jié)果進(jìn)行驗(yàn)證了，比如掃描結(jié)果中有一是URL傳遞的參數(shù)中存在SQL注入漏洞，那么將該URL及參數(shù)輸入到地址欄中，驗(yàn)證結(jié)果。

這個(gè)工具并不能對(duì)web應(yīng)用進(jìn)行全面安全測(cè)試，今后還會(huì)研究一些其它的工具，結(jié)合起來，完善測(cè)試。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]