A. 什么是Web漏洞扫描
漏洞是指缺少安全措施或采用的安全措施有缺陷，可能会被攻击者利用，对企业
的信息资产安全造成损害，漏洞扫描就是用漏洞扫描器发现漏洞的过程。
web漏洞通常是指网站程序上的漏洞，可能是由于代码编写者在编写代码时考虑不周全等原因而造成的漏洞，常见的WEB漏洞有sql注入、Xss漏洞、上传漏洞等。
业内常用的Web漏洞扫描工具有：
Accunetix Web Vulnerability Scanner(AWVS)
IBM Rational AppScan
sqlmap
W3af
arachni
Zed Attack Proxy
网藤CRS
以上几款扫描器中，前两款属于商业软件，网藤CRS属于Saas模式，新用户可在线免费试用，后几款均是免费开源模式
B. 如何进行Web漏洞扫描
首先根据需要选择合适的扫描器，有条件的公司建议至少选择2款以上的扫描器进行交叉确认，避免因某款扫描器漏报导致漏洞没扫到而被外界利用的情况发生
其次根据扫描器的引导，定期下发扫描任务，现在的扫描器均做的都很人性化，比如有一款叫网藤风险感知的产品，可以通过输入扫描目标（域名或IP）选择扫描策略即可通过下发任务的形式完成漏洞扫描。任务结束后会有一份详细的扫描报告
C. Web渗透是怎么弄的
1.渗透目标
渗透网站（这里指定为www.xxx.com）
切记，在渗透之前要签订协议。
2.信息收集
建议手动检查和扫描器选择同时进行。
2.1 网站常规检测（手动）
1：浏览www.xxx.com
1. 初步确定网站的类型：例如银行，医院，政府等。
2. 查看网站功能模，比如是否有论坛，邮箱等。
3. 重点记录网站所有的输入点（与数据库交互的页面），比如用户登录，用户注册，留言板等。4. 重点查看网站是否用到了一些通用的模板，比如论坛选择了动网(dvbss)，就有可能存在动网的漏洞；邮箱有可能选择通用的邮箱系统，也有漏洞。
2: 分析网站的url1. 利用搜索引擎,搜索网站的url,快速找到网站的动态页面。
2. 对网站的域名进行反查，查看IP，确定服务器上的域名数，如果主页面url检测没有漏洞，可以对其他的域名进行检测。
3：审查代码
重点对输入代码（比如表单）进行分析，看如何来提交输入，客户端做了哪些输入的限制方法。
1. 隐藏表单字段 hidden
2. Username,Password等
4：控件分析
Active x 通常都是用c/c++编写
在页面上（通常是首页）的源码中搜索
1. 需要ComRaider+OD 对dll文件进行反编译，看是否有漏洞。
2. 改变程序执行的路径，破坏Active X 实施的输入确认，看web的回应。
5：对常规的输入进行手动注入测试，测试是否有sql注入和跨站漏洞，试用常规的用户名和密码登录。
6：查看web服务器的版本，确定搜索是否有低版本服务器组件和框架的漏洞，比如通用的Java框架Struct2的漏洞。
2.2 工具选择和使用
1：web应用程序漏洞扫描工具
Appscan: （版本7.8）
扫描漏洞比较全，中文，漏洞利用率高，检测速度慢，需要大量内存，重点推荐。
AWVS:
英文，漏洞库完善，检测速度慢。
JSky
中文，检测速度快，但深度一般。
Nessus
英文，检测速度较快，漏洞也比较完善，免费，可及时更新，B/S界面。
2：端口扫描
Nmap
流光
3: 口令破解工具
溯雪
4：sql 注入工具
Asp+SqlServe, ACCESS：啊D注入工具
Php+MySQL : php+mysql注入工具（暗组的hacker栏中）
Jsp+ORACAL: CnsaferSI
支持以上数据库 Pangolin
5: http代理请求
Paros
6:木马
灰鸽子
7：提权木马
一句话木马大马（具体所用的木马参考文档和工具包（绿盟，暗组））
5: 工具推荐使用方案
Appscan扫描出的重大漏洞，进行手工检测（注意看漏洞是如何发现的，修改漏洞的代码，对渗透帮助很大）。
sql注入漏洞
可以选用根据网站类型选择sql注入工具
如果是post请求类型的url，选择使用paros代理后，修改http请求包，进行注入。
WebDEV漏洞
可以启用发送请求（比如DELETE对方网页）
跨站漏洞
直接将appscan的代码输入测试，成功后，可以尝试跨其他脚本（比如
遍历漏洞:
网页的目录，下载网站配置文件信息，和源文件进行反编译
反编译：
Class 可以选用java 反编译工具
Dll (asp.net) 选用Reflector
3.分析并渗透
---------------------
作者：centos2015
来源：CSDN
原文：https://blog.csdn.net/zonghua521/article/details/78272634
版权声明：本文为博主原创文章，转载请附上博文链接！
D. web漏洞扫描工具有哪些
1、Nexpose：跟其他扫描工具不同的是，它的功能十分强大，可以更新漏洞数据库，也可以看出哪些漏洞可以被Metasploit Exploit，可以生成非常详细、强大的Report，涵盖了很多统计功能和漏洞的详细信息。
2、OpenVAS：类似Nessus的综合型漏洞扫描器，可以用来识别远程主机、Web应用存在的各种漏洞，它使用NVT脚本对剁成远程系统的安全问题进行检测。
3、WebScarab：可以分析使用HTTP和HTTPS协议进行通信的应用程序，它可以简单记录观察的会话且允许操作人员以各种方式进行查看。
4、WebInspect：是一款强大的Web应用程序扫描程序，有助于确认Web应用中已知和未知的漏洞，还可以检查一个Web服务器是否正确配置。
5、Whisker/libwhisker：是一个Perla工具，适合于HTTP测试，可以针对许多已知的安全漏洞，测试HTTP服务器，特别是检测危险CGI的存在。
6、Burpsuite：可以用于攻击Web应用程序的集成平台，允许一个攻击者将人工和自动的技术进行结合，并允许将一种工具发现的漏洞形成另外一种工具的基础。
7、Wikto：是一个Web服务器评估工具，可以检查Web服务器中的漏洞，并提供与Nikto一样的很多功能，但增加了许多有趣的功能部分。
8、Watchfire AppScan：是一款商业类的Web漏洞扫描程序，简化了部件测试和开发早期的安全保证，可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等等。
9、N-Stealth：是一款商业级的Web服务器安全扫描程序，主要为Windows平台提供扫描，但并不提供源代码。
E. APPSCAN扫描出来的web风险漏洞怎么修复
这是一个对Web应用程序的漏洞进行评估的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。
它支持动态地编辑/查看 HTTP/HTTPS,从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序，hash 计算器，还有一个可以测试常见的Web应用程序攻击的扫描器。
F. 用AppScan扫描java web项目出来CSRF跨站点请求伪造漏洞，这个该怎么写代码解决呢。网上的方法谁有具体例子
过滤器
//HTTP头设置 Referer过滤
String referer =request2.getHeader("Referer"); //REFRESH
if(referer!=null&& referer.indexOf(basePath)<0){
request2.getRequestDispatcher(request2.getRequestURI()).forward(request2,response);
}
3.Autocomplete HTML Attribute Not Disabled for Password Field
修复任务： Correctly set the"autocomplete" attribute to "off"
密 码：
<inputname="userinfo.userPwd" type="password" autocomplete = "off"/>
G. 介绍一款免费的web安全漏洞扫描软件
你好！以下这款一直在用真心不错
打开腾讯电脑管家----工具箱----硬件检测----修复漏洞。
按以上步骤，你试着操作下，看能否帮你解决。
腾讯电脑管家是一款免费安全软件，能预防和解决计算机上常见的安全风险。拥有云查杀木马，系统加速，漏洞修复，实时防护，网速保护，电脑诊所，广告过滤，软件管理等功能。
H. 最好的WEB漏洞扫描工具
十大Web漏洞扫描程序,见：http://www.15897.com/blog/post/top-10-vul-scanner.html介绍