webinspect技术支持-华克斯-webinspect

HP WebInspect的适用范围：

数据注入和操作攻击

? Reflected XSS

? Persistent XSS

? 跨站请求伪zao

? SQL注入

? SQL盲注

? 缓冲器溢出

? 整数溢出

? Log注入

? 远程文件包含（RFI）注入

? 服务器端包含（SSI）注入

? 操作系统命令注入

? 本地文件包含（LFI）

会话与验证

? 会话强度

? 验证攻击（Authentication attack）

? 验证不充分

? 会话有效期短（insufficient session expiration）

服务器与通用HTTP

? 安***接层（SSL）证书问题

? 支持SSL协议

? 支持SSL密码

? 服务器配置不当

? 目录索引与列举

? 服务拒绝

? HTTP响应拆分

? Windows

8.3文件名

? DOS驱动程序安装处理DoS（DOS device handle DoS）

? 标准化攻击

? URL改道攻击

? 密码自动完成

? Cookie安全

? 自定义模糊

? 路径操纵 － 穿越

? 路径截断（Path truncation）

? Ajax审计

? WebD***审计

? Web服务审计

? 文件列举

? 信息***

? 目录与路径穿越

? 垃圾邮件网关检测

? 强力验证攻击

? 已知应用与平台漏洞

针对 hpe webinspect 强化您的 sharepoint 2013 的指南表达式语言注入

WebInspect 可能检测到表达式语言 (el) 注入漏洞。当应用程序无法充分验证不受信任的用户数据， 然后将其分配给某些 spring mvc jsp 标记的属性值时， 将引入 el 注入漏洞。标记的链接是 sharepoint 中的搜索查询 web 服务 (spsearch. a***x)。显然，webinspect， sharepoint 是一个基于. net 的框架， 它不包含任何与 sprint mvp jsp 相关的对象， 尤其是 j***a 平台。

在我的调查中，webinspect电话， 行动是尝试在互联网浏览器的网址。显示的错误如下:

我想确保即使 sharepoint 不是基于 j***a 的平台， 当 WebInspect 向目标 url 发送 http 获取方法时， sharepoint 也不应返回任何内容或友好消息。不幸的是， 在这种情况下，webinspect报价， sharepoint 不。相反， 它抛出了下面的错误， 说一个潜在的***的请求. 从客户端检测到路径值 (%)。此错误意味着服务器处理 url， 并认为某些字符是非fa的。这听起来像是另一个问题的发现。解决方法是修改 requestPathInvalidCharacters 参数以在查询 url 时排除所有特殊字符。打开 web 应用程序的 web.config， 并由下面的代码段替换

httpruntime requestPathInvalidCharacters = '' requestValidationMode = '2.0'/此操作可能导致安全漏洞， 使攻击者能够使用可利用的参数查询 web 服务器。您需要一个允许的特殊字符的白名单。有关详细信息， 请阅读本文古怪中的实验: 在 ASP.NET/IIS 请求 url 中允许百分数、角括号和其他顽皮的东西

webinspect随时查看扫描结果

您可以通过***用户界面查看扫描过程，开展互动。您可以随时停止扫描进程对某个问题进行研究，或重新启动扫描程序对特定区域进行***扫描。

利用精que的报告提升您的影响

HP WebInspect包括多种能体现***安全状态的预置报告，如C-level趋势报告、详细的开发报告及合规/违规报告等。此外，HP

WebInspect还允许您编辑报告，添加自定义注释或详细信息。HP WebInspect报告中包含的数据能以各种标准格式（如XML、HTML和PDF格式）导出。