webinspect在线咨询-华克斯-webinspect

什么是渗透测试？

HP WebInspect的另一个可能用途是对您的公司计算机系统执行渗透测试。 这允许公司内部和互联网进行全mian的安全测试，保护双倍。

HP WebInspect是安全*人员和需要保护其重要数据免遭未经授权访问的组织的重要工具。 通过使用整体方法，webinspect在线咨询，它旨在找到并消除计算机系统上的软件安全故障，并使用新颖的扫描方法来*xiao化安全风险。

2012年6月12日，Techmume发表于网站管理员 关于什么是HP WebInspect？

针对 hpe webinspect 强化您的 sharepoint 2013 的指南

未受保护的 _vti_pvt 目录

在运行 microsoft frontpage 服务器扩展的系统的 _vti_pvt 目录中找到了该服务. cnf 文件。此文件包含有关 web 服务器的元。攻击者可以提交对有漏洞的文件的请求，webinspect， 从而导致服务器显示敏感的系统信息。攻击者可以使用此信息对受影响的主机发起进一步的攻击。

此文件包含 sharepoint 版本信息，webinspect总代理商， 并且是 frontpage rpc 支持所必需的。它还允许旧式软件连接到 sharepoint。此文件中的此信息被发送到服务器的所有 http 请求的头中， 因此访问此文件不保证配置泄漏。我确实写了一篇文章来澄清 sharepoint 2013 中的 frontpage 服务器扩展

不安全的 ssl: 缺少 http 严格传输

http 严格传输安全 (HSTS) 策略使 web 应用程序能够强制 web 浏览器通过设置期间的加密 ssl/tls 连接来限制与服务器的通信。策略通过特殊的严格传输安全响应报头声明。加密连接可保护敏感用户和会话数据，webinspect报价， 以防攻击者窃ting网络连接。

解决方案是在 iis 中添加自定义标头以接受 HSTS。打开 web 应用程序的 web.config， 并在 httpProtocol 元素中添加新的自定义主机头。

lt;system.webServergt;lt;httpProtocolgt;lt;customHeadersgt;lt;add name="Strict-Transport-Security" value="max-age=31536000"/gt;lt;/customHeadersgt;lt;/httpProtocolgt;lt;/system.webServergt;另一种解决方案是安装和配置 http 严格传输安全 iis 模块 (华克斯/)。但是， 没有 microsoft 的官fang文档确认此模块是安全的。这个模块对我的 sharepoint 每个实验都没有影响。

webinspect发现web应用与服务中的安全漏洞

HP WebInspect是一款易用、可扩展、精que的Web应用安全评估软件，能帮助*安全人员和入门者查找与发现web应用和服务中存在的高风险安全漏洞。

支持*复杂的环境

大多数应用扫描程序面向原有的web技术，无法自动扫描使用Ajax、SOAP、J*aScript和Flash技术开发的新型Web 2.0应用。而HP WebInspect能对如今的web应用技术，包括使用双重身份鉴定及其它改进技术的内容丰富的网站进行分析。其架构支持HP

WebInspect查看整个应用，减少漏报（false negative）现象。