网路游侠

还是打算自己做个Blog了，无论是sina、sohu、163、baidu……都无法提供自己满意的服务和功能。

网路游侠的主页地址：http://www.youxia.org

以后用这个访问就可以的，这个地址将永远是最新的、游侠最近更新的地址。

本来前几天在 [使用WEB应用防火墙保护网站安全] 文章末尾曾经提到最近想写数据库安全的文章的，但是Cisco 3560被征用了，所以，还是写另一个热点产品：网络运维管理操作平台。

网络运维管理操作平台有什么作用呢？游侠给大家说说：

·Unix/Linux行为审计（包括其它类似系统）

·Windows操作行为审计

·网络设备如防火墙、路由器、交换机的行为审计（基于telnet的）

前几天也给大家说过WEB应用防火墙，包括软件的和硬件的，今天游侠（http://www.youxia.org）再给大家推荐个产品，当然这个是二合一的，就是：网页防篡改+WEB应用防火墙。比较有特色，好了，废话不说，正文开始：

安装就跳过了，相信对本文感兴趣的人都可以按照说明书配置。下面只说一些功能。

产品本身有配置向导，可以让一个新手也可以在1分钟之内轻松的完成网站的默认防护，当然如果要求比较高，可以定制策略，下图就是对网站文件进行防护的一个设置：

前几天游侠（http://www.youxia.org）曾经在博客提到，说外交部的网站有跨站脚本漏洞（原文链接：[中国人民共和国外交部网站的一个跨站漏洞]，然后从外交部网站找到管理员的邮箱发了一封邮件，今天得到了回复。

信中说此XSS/CSS问题已经修复，上去看看，依然提交以前的测试语句：

去年的这个时候，游侠(www.youxia.org)认为WAF都是硬件的，后来在网上看到这个在国内做的不错的牌子。居然是软件的WAF，这样的话，一些服务器在机房托管的用户就特别需要这样的产品，因为1U的设备在电信机房的托管费用都有几千到上万，价格和便捷性的优势一下子就出来了……
拿到了厂家发过来的测试版，迫不及待的装上试试！
测试环境：
·Windows Server 2003
·IIS 6.0
·某有漏洞的ASP内容管理系统
这款软件的WAF部署实际上比较简单的，并且是纯绿色软件……不需要下一步，也不需要点安装协议，直接拷贝文件到某个目录下面，配置权限，在IIS或其它的WEB Server进行相关配置即可，不难，几分钟即可配置好。过程我就不说了，只谈感想。呵呵
可能不大懂WEB Server配置的人看到软件的

相信圈子里面的朋友都知道WebRavor了，如果你不知道WebRavor，你总该知道大名鼎鼎的“流光Fluxay”吧？——是的，Fluxay和WebRavor出自一人之手——小榕。

安域领创的网站是没有WebRavor下载的，还好，发邮件要了个下载地址……当然，貌似说的是废话，要不也不会有本文出现了 :)

但是，评估版的限制很多了，比如，只能扫描http://demo.webravor.com 让人很是不爽……不过话说回来，要是不做这个限制，貌似又和黑客工具差不多了，作为安全软件，原则上是不允许这么做的。

下面看看流程吧，如果熟悉流光，那么对WebRavor也不会陌生：

其实这台WEB应用防火墙（WAF）在公司放了很久了，平时看看，但是基本没有静下心来仔细看看。现在到下班还有半个小时，粗略的过一下吧，看看WAF的功能。

实际上WAF和传统防火墙的区别比较大，比如传统防火墙一般通过对IP和Port的过滤实现安全性，而WAF则是通过对数据包的深层检测实现WEB攻击的检测和阻断，如SQL注入攻击、XSS攻击等，下面我举例子看WAF是如何对网站进行防护的。

网络的拓扑是这样的：

大家应该都记得曾经风靡一时的X-Scan、流光吧？当然与此类似的评估工具还有很多。但是随着技术的发展，现在前面提到的2款安全扫描工具由于偏重于主机系统扫描，但现在WEB服务器、数据库服务器、业务服务器前一般都部署了防火墙、入侵检测等系统，因此并不容易扫描出有效的漏洞。因此，网上应用安全扫描平台应运而生。

当然，做WEB应用扫描的话，需要较深的技术功底，就目前最流行的攻击手法而言，是：SQL注入、跨站、表单绕过。当然在这里就SQL注入也细分很多种，跨站也是了。游侠（http://www.youxia.org）到厂商要了个测试账号。下面给大家一起看看！

当然，利用网上应用安全扫描平台对网站进行安全

本文使用的是从某数据库安全厂家获取的数据库扫描系统，版本不是最新的，不过应该可以代表产品的设计思路和其在相关领域的技术实力。

数据库扫描的初期，一般都是确认评估范围，本产品也不例外。添加任务有两种方法：一是直接输入数据库的详细信息，二是对网络进行扫描，确认网内数据库的总量。

相对于网上Nessus、NMAP等评估工具，本款数据库扫描产品更像是一款安全测试工具，因为在对数据库进行安全评估的时候，不但要输入通用的IP、端口，更要输入数据库系统的账号，甚至操作系统的账号（这样就可以审核用系统账号登录数据库系统情况下的安全性）。

扫描速度理所当然

其实Symantec的SEP已经出来很久了，看上去不错，但是一直没看。前几天出差，在长途车上的功夫，装了下。说说感受吧！

1、安装简便！这个最重要。Manager程序10分钟就搞定，因为最近也在测试McAfee的VirusScan和AntiSpyware等，所以感觉Symantec的SEP部署相当的简洁易懂。

2、轻量。相对于McAfee ePo的庞大身躯，并且安装完还要无休止的升级，Symantec SEP明显要轻松很多，不知道和我用的是试用版有关系没，只有400M。

3、界面简单。想要找什么，一眼就看到了，无需翻来覆去的