Paros工具使用手册

Paros工具使用理解文档Paros工具使用手册Paros工具使用理解文档I目录1Paros介绍..................................................................................................................................12安装与配置................................................................................................................................22.1安装..............................................................................................................................22.2配置..............................................................................................................................33功能介绍....................................................................................................................................53.1Spider抓取...................................................................................................................53.2Scanner扫描................................................................................................................73.3Filter过滤器................................................................................................................83.4TrapingHttpRequestsandResponses..........................................................................93.5LastScanReport.........................................................................................................124应用..........................................................................................................................................145漏洞类型..................................................................................................................................185.1SQL注入....................................................................................................................185.2XSS攻击....................................................................................................................195.3目录遍历....................................................................................................................195.4CRLF回车换行.........................................................................................................196注意事项..................................................................................................................................20Paros工具使用理解文档11Paros介绍Paros是一种利用纯java语言开发的安全漏洞扫描工具，它主要是为了满足那些需要对自己的web应用程序进行安全检测的应用者而设计的。通过Paros的本地代理，所有在客户端与服务器端之间的http和https数据信息，包括cookie和表单信息都将被拦截或者是修改。parosproxy，这是一个对Web应用程序的漏洞进行评估的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看HTTP/HTTPS,从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序(spider)，hash计算器，还有一个可以测试常见的Web应用程序攻击(如SQL注入式攻击和跨站脚本攻击)的扫描器。该工具检查漏洞形式包括：SQL注入、跨站点脚本攻击、目录遍历、CRLF--Carriage-ReturnLine-Feed回车换行等。本手册主要是帮助用户熟悉Paros的基本功能和简单应用。Paros工具使用理解文档22安装与配置2.1安装在安装Paros工具之前需要安装Java文件，也就是JDK，版本必须在1.4以上。Paros是需要JDK支持的，JDK的下载地址如下：接下来，下载Paros，地址为：分别有Windows和Linux版本，当前我们应用在Windows下，需要下载Windows版本。Paros拥有两个连接端口，分别为8080和8443，8080主要是针对Http建立连接，而8443是针对Https的协议建立连接的端口。安装之后的Paros如图所示：Paros工具使用理解文档3开启web浏览器，例如IE浏览器，需要配置连接代理，代理名称为localhost,代理端口为：8080，而端口8443是由Paros本身所使用，不是web浏览器所用，所以不用设置此代理端口。注意：如果后台正在运行防火墙，而且只能接受设置好的互联网访问入口，此时需要修改Paros代理名称和端口号，如下所示修改者两个标识。2.2配置首先启动Paros程序，如果在启动时界面上弹出错误提示，说明端口号8080和8443可能被占用，此时我们只需要修改Paros的本地端口号，然后再修改IE浏览器上的代理设置，使之相一致就可以了。如下图所示：Paros的设置：Paros工具使用理解文档4IE的代理设置：Paros工具使用理解文档53功能介绍首先来看Paros的界面以及功能分布3.1Spider抓取Spider是Paros中一个非常重要的功能，它是用来抓取网站信息，收集URL地址信息，通过Spider这种方式来来逐层分解抓取站点的URL。如图所示：Paros工具使用理解文档6当前，它的功能包括如下：1）通过提供的URL地址来抓取HTTP或者HTTPS信息2）支持抓取Cookie信息3）支持设置代理链4）自动添加URL地址，并以树结构分层进行扫描Spider存在的一些缺陷，如下：1）对于具有非法验证的SSL协议的站点不能被扫描2）不支持多线程3）对于在HTML中存在异常URL地址的页面不能被识别4）Javascript生成的URL地址不能被识别注意：对于不能被识别的URL地址，Paros也可以扫描，需要通过手动添加即可。Paros工具使用理解文档73.2Scanner扫描针对“site”栏中的URLS进行扫描，逐一检查对URLS分别进行安全性检查，验证是否存在安全漏洞。如果想扫描site栏中所有的URLS，单击anaylse-scanall可以启动全部扫描。如果只想扫描“site”栏中某一URL，选中该URL，右击鼠标，选取scan命令。如下图所示：关于扫描设置，可以对单个页面进行扫描，也可以对整个站点进行扫描。Scanner可以针对一下几种情况进行扫描：1）SQL注入2）XSS跨站点脚本攻击3）目录遍历4）CRLF--Carriage-ReturnLine-Feed回车换行等。注意：Paros扫描是针对每个网站URL地址进行分层扫描，精确到每个一个独立的URL地址，都需要进行漏洞检测。Paros工具使用理解文档8关于扫描策略的设置如下：1）搜集的信息有如下分类：过期的文件、私有IP的暴露、URL地址中可以改写的SessionID、过期文件的扩展检查。2）客户端浏览器有如下分类：表单自动完成密码的保存、浏览过程中保存的安全性文件的缓存信息。3）服务器端安全有如下分类：正在浏览的目录信息、IIS服务的默认文件等各种服务器的默认文件。4）SQL注入有如下分类基本的sql语句构造、目录上传、服务器站点注入、跨站脚本注入等。3.3Filter过滤器过滤器的用途：Paros工具使用理解文档91）检测并警告你在HTTP消息中一些预定义发生的模式，因此你不需要去捕获每个HTTP消息，而只需要寻求你所需要的模式。2）记录一些你所感兴趣的信息，例如Cookie等。在数据传输中，过滤器会对每一个HTTP消息进行拦截检测，如果使用所有过滤将会大大降低Paros的扫描速度，所以通常我们只需要对我们需要的信息进行拦截过滤。当前，有如下过滤器：1）LogCookie记录所有浏览器端到服务器端接收的Cookies信息，并显示在面板中。2）LogGetQuery记录所有HTTP（HTTPS）来自浏览器端获取的参数，并且日志的名称将以“get.xls”的形式保存在Paros目录下面。3）LogPostQuery记录所有HTTP（HTTPS）来自浏览器端传送的参数，并且日志的名称将以“post.xls”的形式保存在Paros目录下面。4）CookieDetectFilter提醒你在返回HTTP消息中尝试去设置并修改Cookie信息。5）IfModifiedSinceFilter在HTTP请求中删除“If−Modified−Since”和“If−None−Match”这头信息选项，它将检索“HTTP200OK”，而不是“HTTP304notmodified”。3.4TrapingHttpRequestsandResponsesParos能手动捕获和修改HTTP（HTTPS）的请求和响应信息，所有的HTTP和HTTPS数据通过Paros都能被捕获，并且可以按照我们需要的方式进行修改。只要选中复选框“TrapRequest”和“TrapResponse”，就表示捕获所有的请求和响应信息，然后点击“