1 當(dāng)前WEB應(yīng)用面臨的主要安全威脅
美國最權(quán)威的RSA大會(huì)研究顯示，Web應(yīng)用安全已超過所有以前網(wǎng)絡(luò)層安全(如)，逐漸成為最嚴(yán)重、最廣泛、危害性最大的安全問題。WEB安全的挑戰(zhàn)主要來自以下幾個(gè)方面：
XSS跨站攻擊;
SQL 注入;
;
;
偽造報(bào)文;
RootKit隱身技術(shù)等等;
據(jù)國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心的統(tǒng)計(jì)調(diào)查顯示，2008年中國的安全狀況不容樂觀，各種網(wǎng)絡(luò)安全事件與去年同期相比都有明顯增加、被植入的主機(jī)數(shù)量大幅攀升。中心通過技術(shù)平臺(tái)共捕獲約90 萬個(gè)惡意代碼，比去年同期增長(zhǎng)62.5%;網(wǎng)頁篡改事件和網(wǎng)絡(luò)仿冒事件同比增長(zhǎng)分別是23.7%和38%;木馬控制端IP地址總數(shù)為280068個(gè)，被控制端IP地總數(shù)1485868個(gè)。
與此同時(shí)，攻擊者從技術(shù)上針對(duì)不同網(wǎng)站所采用了不同的攻擊方式以達(dá)到攻擊目的，在過程中其利益趨勢(shì)非常明顯。對(duì)于政府類或安全管理相關(guān)網(wǎng)站，攻擊者主要采用篡改網(wǎng)頁、放置惡意代碼等攻擊形式，干擾正常業(yè)務(wù)的開展(如利用網(wǎng)絡(luò)釣魚和網(wǎng)址嫁接等對(duì)金融機(jī)構(gòu)、網(wǎng)上交易等站點(diǎn)進(jìn)行網(wǎng)絡(luò)仿冒)、蓄意破壞政府或形象，嚴(yán)重的導(dǎo)致網(wǎng)站被迫停止服務(wù)。對(duì)于個(gè)人用戶，攻擊者更多的是通過用戶身份竊取(如：利用間諜軟件和木馬程序等)手段，偷取用戶游戲賬號(hào)、銀行賬號(hào)、密碼等，竊取用戶的私有財(cái)產(chǎn)。
如此的安全狀況，給WEB應(yīng)用系統(tǒng)的穩(wěn)定運(yùn)行帶來了前所未有的壓力，WEB應(yīng)用系統(tǒng)的安全已經(jīng)成為了目前迫切需要解決的問題。
然而，面對(duì)如此嚴(yán)重的安全威脅，目前市場(chǎng)缺少相應(yīng)的安全解決有效應(yīng)對(duì)。
基于此，杭州安恒信息技術(shù)有限公司推出了全球領(lǐng)先的WEB應(yīng)用弱點(diǎn)評(píng)估工具—明鑒TMWEB應(yīng)用弱點(diǎn)掃描器(MatriXay)，為您的WEB應(yīng)用提供安全風(fēng)險(xiǎn)評(píng)估和主動(dòng)防御工具。
2 產(chǎn)品概述
明鑒TMWEB應(yīng)用弱點(diǎn)掃描器(MatriXay)是杭州安恒信息技術(shù)有限公司在深入分析研究WEB-構(gòu)架應(yīng)用系統(tǒng)中典型安全漏洞以及流行的攻擊技術(shù)基礎(chǔ)上，研制開發(fā)的一款WEB應(yīng)用安全評(píng)估工具。它采用攻擊技術(shù)的原理和滲透性測(cè)試的方法，對(duì)WEB應(yīng)用進(jìn)行深度漏洞探測(cè)，可幫助應(yīng)用開發(fā)者和管理者了解應(yīng)用系統(tǒng)存在的脆弱性，為改善并提高應(yīng)用系統(tǒng)安全性提供依據(jù)，幫助用戶建立安全可靠的WEB，對(duì)WEB應(yīng)用攻擊說“不!”
明鑒TMWEB應(yīng)用弱點(diǎn)掃描器(簡(jiǎn)稱：MatriXay 3.6)是安恒安全專家團(tuán)隊(duì)在深入分析研究B/S架構(gòu)應(yīng)用系統(tǒng)中典型安全漏洞以及流行攻擊技術(shù)基礎(chǔ)上研制而成，該產(chǎn)品1.0版本于2006年8月世界安全大會(huì)BlackHat和Def-Con上首次發(fā)布,2.0版本于2007年12月 發(fā)布,并在08奧運(yùn)WEB安全保障中發(fā)揮了重要的作用。與市場(chǎng)上同類產(chǎn)品的不同之處在于：不僅具有非凡的掃描功能，還提供了強(qiáng)大的滲透測(cè)試、網(wǎng)頁木馬檢測(cè)功能。因此，被評(píng)價(jià)為“最佳的WEB安全評(píng)估工具”。
MatriXay 3.6(2009版) 旨在降低WEB應(yīng)用的風(fēng)險(xiǎn)，使國家利益、社會(huì)利益、企業(yè)利益乃至個(gè)人利益的受損風(fēng)險(xiǎn)降低，廣泛適用于“政府、金融、運(yùn)營商、公安、能源、稅務(wù)、工商、社保、交通、等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)、教育、及企業(yè)”等各領(lǐng)域的網(wǎng)站和內(nèi)部B/S系統(tǒng)(如OSS系統(tǒng)、、等)。
作為公安部等級(jí)保護(hù)測(cè)評(píng)中心專用應(yīng)用安全測(cè)評(píng)工具，安全中心運(yùn)營商安全Web和數(shù)據(jù)庫安全檢查工具，MatriXay 3.6 (2009版)可以幫助用戶充分了解WEB應(yīng)用存在的安全隱患，建立安全可靠的WEB應(yīng)用服務(wù)，改善并提升應(yīng)用系統(tǒng)抗各類WEB應(yīng)用攻擊的能力(如：注入攻擊、跨站腳本、釣魚攻擊、信息泄漏、惡意編碼、表單繞過、緩沖區(qū)溢出等)。
3 主要功能
3.1 軟件功能結(jié)構(gòu)
明鑒WEB應(yīng)用弱點(diǎn)掃描器(MatriXay)主要功能包含：全局配置，系統(tǒng)管理，項(xiàng)目管理，項(xiàng)目掃描、弱點(diǎn)檢測(cè)，滲透測(cè)試、配置審計(jì)和報(bào)表管理。
產(chǎn)品的功能結(jié)構(gòu)圖如下：
