موضوع مقاله: اسکنر امنیتی برنامه وب | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # اسکنر امنیتی برنامه وب | مقدمه: اسکنر امنیتی برنامهٔ وب برنامه‌ای است که با ارتباط‌ برقرار کردن با برنامهٔ وب از راه رابطِ کاربرِ نهایی، تلاش می‌کند آسیب‌پذیری‌های بالقوه در برنامهٔ کاربردی وب و ضعف‌های ساختاری آن را شناسایی کند. | ## بخش 1: اسکنر امنیتی برنامه وب | برخلاف کد منبع اسکنرها، اسکنرهای برنامه‌های وب به کد منبع دسترسی نداشته و به همین دلیل تشخیص آسیب‌پذیری با انجام حملات مشخص می‌شود. برنامه‌های کاربردی وب از سال ۲۰۰۰ بسیار محبوب بوده‌است چونکه به کاربران اجازه تجربه تعاملی در اینترنت می‌دهد. فقط به جای نمایش صفحات ایستای وب، کاربران امکان ایجاد حساب‌های شخصی، اضافه کردن محتوا، پرس و جو پایگاه داده و تکمیل مبادلات را فراهم می‌کند. در فرایند تأمین تجربه تعاملی نرم‌افزارهای وب غالباً جمع آوری، ذخیره و استفاده از داده‌های شخصی حساس برای تحویل به سرویس خود صورت می‌گیرد. کاربران از آسان بودن استفاده از این نرم‌افزارها بهره‌مند می‌شوند در حالیکه اطلاعات شخصی ذخیره شده در برنامه‌های وب تلویحا از طریق حملات هکرها، نشت خودی و غیره به خطر می‌افتد. اسکنرهای برنامه وب می‌تواند طیف گسترده‌ای از آسیب پذیری‌ها را بررسی کند، شامل: ارزیابی ورودی / خروجی مشکل‌های برنامه خاص پیکربندی سرور مشکلات/خطاها / نسخه در یک گزارش کپی رایت در مارس ۲۰۱۲ توسط فروشنده امنیتی منتشر شده‌است cenzic. نقاط ضعف و محدودیت ها ابزار رایگان معمولاً با نقص امنیتی زبان خاص موجود در زبان‌هایی که اخیراً به روز شده به روز نکرده‌است; در حالی که این ممکن است یک اقلیتی از آسیب پذیری حمله شایسته انتظار می‌رود که سعی در این حملات را داشته -- بخصوص اگر بتوانند یادبگیرند که زبان وب سایت هدف چه زبانی است. معمولاً ممکن نیست که بدانید که یک اسکنر امنیتی خاص خوب است اگر شما برخی از دانایی‌های امنیتی - چگونگی آن را ندانید. | ## بخش 2: اسکنر امنیتی برنامه وب | واینکه صاحبان کسب و کار کوچک را به اجرای حداقل ۵ ابزار رایگان در صورتی که برای اولین بار نتیجه ای یافت نشود راضی نمایید، سخت می‌باشد. حمله کننده می‌تواند به صورت تئوری حملات خود را در برابر ابزار اسکن معروف به منظور یافتن حفره‌هایی در وب سایت‌هایی که به وسیله افرادی که از اسکنرهای امنیتی بیش از حد استفاده می‌کنند (آنها می‌توانند برا مثال خطاهایی که ابزارهای اسکن به دنبالشان هستند را دنبال کنند) به منظور ساختن هزرنامه‌ای که بات نت‌ها را ارسال می‌کند. به عنوان مثال حداقل تمام ابزارهایی که در برابر مهاجمان شایسته و گسترده ضعیف هستند. بات نت‌ها و سایر حملات مهاجمان که در آن می‌توان نرم‌افزارهای مخرب که بر روی کامپیوتر غیر متصل باقی‌مانده را به روز رسانی نمود، همچنین مشخص کردن برخی از شبکه‌های استفاده شده توسط یک مقدار زیادی از کاربران نامنظم دشوار است، مانند برخی از شبکه‌های دانشگاهی که استفاده از کامپیوتر آموزش داده نمی‌شود. از آنجا که ابزار یک روش آزمایش پویا را پیاده‌سازی می‌کنند، نمی‌تواند ۱۰۰٪ کد منبع برنامه را پوشش داده و سپس نرم‌افزار به خودی خود را. تست کننده نفوذ باید در پوشش نرم‌افزار وب یا سطح حمله خودش که بداند این ابزار آیا به‌طور صحیح پیکربندی شده‌است یا قادر به درک برنامه تحت وب می‌باشد. پیدا کردن نقص منظقی مانند استفاده از ضعف توابعرمزنگاری ،نشت اطلاعات, غیره برای یک ابزار مشکل است. حتی برای نقص فنی، اگر برنامه وب سرنخ‌های کافی فراهم نکند، ابزار نمی‌تواند آن‌ها را متوجه شود. | ## بخش 3: اسکنر امنیتی برنامه وب | این ابزار نمی‌تواند همه انواع حملات برای آسیب پذیری داده شده‌است را پیاده‌سازی کند. بنابراین ابزار به‌طور کلی یک لیست از پیش تعریف شده از حملات را داشته و دنباله‌های حمله را که بر اساس برنامه تحت وب تست شده را تولید نمی‌کنند. ابزار معمولاً در درک خود از رفتار نرم‌افزارها محتوای پویا محدودند مانند جاوااسکریپت,ادوبی فلشو غیره. این ابزار برای حفره‌های مهندسی اجتماعی که به سادگی برای مهاجمان شایسته آشکار هستند. نقاط قوت این ابزار می‌تواند آسیب پذیری نامزدهای انتشار نهایی قبل از حمل و نقل را تشخیص دهد. اسکنرها یک کاربر مخرب را با حمله و بررسی، همچنین مشاهده اینکه چه نتایجی بخشی از مجموعه نتایج مورد انتظار نیست، شبیه سازی می‌کند. اسکنر برنامه وب قادر به اسکن جاوا / JSP، PHP یا هر موتور برنامه وب محور می‌باشد. | ## جمع‌بندی | مهاجمان از همان ابزار استفاده نموده، بنابراین در صورتی که ابزار می‌تواند یک آسیب پذیری را پیدا کند، بنابراین مهاحم نیز می‌تواند.