天鏡Web應(yīng)用檢測(cè)系統(tǒng)用戶手冊(cè)_10

1、天鏡Web應(yīng)用檢測(cè)系統(tǒng)用戶手冊(cè)天鏡Web應(yīng)用檢測(cè)系統(tǒng)用戶手冊(cè)啟明星辰變更歷史版本變更時(shí)間變更章節(jié)性質(zhì)變更內(nèi)容修改人批準(zhǔn)人1.02014年11月完成文檔初始化黃若鵬秦蘭注：性質(zhì)可以為N-新建、A-增加、M-更改、D-刪除 P-批準(zhǔn)版本號(hào)變更規(guī)則：文件初始版本為1.0。若只有部分內(nèi)容出現(xiàn)增加、刪除、修改，則版本號(hào)加0.01。若出現(xiàn)重大修改或者局部修改積累過多而導(dǎo)致文件整體發(fā)生變化，則版本號(hào)加0.1。文件正式發(fā)布版本為2.0。若文件版本接近發(fā)布版本，則在小數(shù)點(diǎn)后面加一位，文件版本號(hào)除非正式發(fā)布版否則不允許超過2.0。目錄1產(chǎn)品概述41.1概述41.2工作環(huán)境要求41.3用戶權(quán)益說明52安裝說明52.

2、1硬件安裝52.2啟動(dòng)天鏡Web應(yīng)用檢測(cè)系統(tǒng)62.3上傳授權(quán)文件授權(quán)82.4升級(jí)82.4.1自動(dòng)升級(jí)92.4.2手動(dòng)升級(jí)92.5配置網(wǎng)卡113新手上路指導(dǎo)123.1啟動(dòng)天鏡Web應(yīng)用檢測(cè)系統(tǒng)123.2使用檢測(cè)中心掃描漏洞133.2.1建立掃描任務(wù)并執(zhí)行掃描133.2.2查看掃描進(jìn)展173.2.3查看掃描結(jié)果183.3使用監(jiān)控中心對(duì)可用性監(jiān)控213.3.1添加監(jiān)控站點(diǎn)213.3.2查看監(jiān)控詳細(xì)信息233.3.3查看監(jiān)控結(jié)果233.4檢測(cè)站點(diǎn)變更情況253.4.1手動(dòng)添加站點(diǎn)URL253.4.2生成站點(diǎn)url的快照263.4.3查看變更信息294用戶管理與審計(jì)304.1用戶管理304.2審計(jì)311

3、 產(chǎn)品概述1.1 概述歡迎您選用啟明星辰公司的天鏡Web應(yīng)用檢測(cè)系統(tǒng)。天鏡Web應(yīng)用檢測(cè)系統(tǒng)是由啟明星辰公司自主開發(fā)，具有完全自主知識(shí)產(chǎn)權(quán)的Web安全掃描與評(píng)估分析系統(tǒng)。該系統(tǒng)采用B/S結(jié)構(gòu)全新設(shè)計(jì)，其任務(wù)是用實(shí)踐性的方法掃描分析Web系統(tǒng)，檢查Web系統(tǒng)中存在的弱點(diǎn)和漏洞并生成相應(yīng)的報(bào)告，適時(shí)提出修補(bǔ)方法和應(yīng)實(shí)施的安全策略，從而達(dá)到增強(qiáng)Web安全性的目的。推薦使用IE、MozillaFirefox、Chrome，最佳顯示分辨率為1280×800。1.2 工作環(huán)境要求推薦在以下環(huán)境中使用天鏡Web應(yīng)用檢測(cè)系統(tǒng)。² IE8、IE9、IE10、IE11² Mozill

4、a Firefox² Chrome1.3 用戶權(quán)益說明當(dāng)您購(gòu)買了啟明星辰公司天鏡Web應(yīng)用檢測(cè)系統(tǒng)后，會(huì)得到一份由北京啟明星辰公司簽發(fā)的軟件使用授權(quán)，即一個(gè)使用授權(quán)文件（*.lic），此文件包含了合法用戶的信息和相應(yīng)的授權(quán)信息，通過此文件的支持將用戶的天鏡Web應(yīng)用檢測(cè)系統(tǒng)激活之后，天鏡Web應(yīng)用檢測(cè)系統(tǒng)才能進(jìn)行正常的掃描。本授權(quán)文件必須從北京啟明星辰公司合法獲取。用戶取得了產(chǎn)品使用授權(quán)后，北京啟明星辰公司有義務(wù)保證用戶使用的合法權(quán)益，同時(shí)用戶有責(zé)任保護(hù)北京啟明星辰公司的版權(quán)，用戶不得隨意將授權(quán)交由第三方單位或個(gè)人使用，如違背上述規(guī)定，將對(duì)此和由此帶來的一切后果負(fù)完全的責(zé)任，我公司將

5、依照法律的相關(guān)條款追究用戶的責(zé)任。2 安裝說明2.1 硬件安裝1、設(shè)備上架（1U設(shè)備）；2、設(shè)備“管理/掃描1”網(wǎng)絡(luò)接口接入網(wǎng)絡(luò)；3、將本地PC的IP地址修改為/24網(wǎng)段的地址，并且確認(rèn)可以ping通“管理/掃描1”接口（IP地址：）。2.2 啟動(dòng)天鏡Web應(yīng)用檢測(cè)系統(tǒng)1、打開瀏覽器IE或FireFox，在瀏覽器的地址欄中填寫登錄天鏡Web應(yīng)用檢測(cè)系統(tǒng)的地址，如，隨后顯示天鏡Web應(yīng)用檢測(cè)系統(tǒng)的用戶登錄界面，如下圖所示。2、輸入天鏡Web應(yīng)用檢測(cè)系統(tǒng)默認(rèn)提供的用戶的賬號(hào)/密碼：admin/venustech60;注意上面紅圈標(biāo)注為機(jī)

6、器碼。如果需要登錄管理中心，需點(diǎn)擊右上角管理中心的鏈接，進(jìn)入管理中心登錄界面：輸入天鏡Web應(yīng)用檢測(cè)系統(tǒng)默認(rèn)提供的配置管理員帳號(hào)/密碼：root/venustech60；如需回到初始登錄頁面，點(diǎn)擊“回到前臺(tái)”鏈接。點(diǎn)擊登錄；注意：如果天鏡無法正確訪問，請(qǐng)確認(rèn)以下：l 是否是防火墻的設(shè)置有誤，天鏡安裝宿主機(jī)必須添加端口443例外以允許通過防火墻進(jìn)行通信。3、成功登錄天鏡Web應(yīng)用檢測(cè)系統(tǒng)后，系統(tǒng)打開首頁如下圖所示；2.3 上傳授權(quán)文件授權(quán)首先記錄機(jī)器碼，申請(qǐng)授權(quán)文件，名稱為license.lic，然后通過配置管理員帳號(hào)/密碼root/venustech60登錄管理中心，進(jìn)入授權(quán)上傳頁面。點(diǎn)擊瀏覽

7、選中該授權(quán)文件，再點(diǎn)擊上傳授權(quán)文件，授權(quán)成功后會(huì)顯示如下：注意：紅圈標(biāo)注的信息顯示為該系統(tǒng)已授權(quán)并有相應(yīng)的授權(quán)信息。2.4 升級(jí)升級(jí)頁面提供漏洞庫、產(chǎn)品補(bǔ)丁包升級(jí)的功能，使得產(chǎn)品保持最新的漏洞掃描能力。該系統(tǒng)包括自動(dòng)升級(jí)和手動(dòng)升級(jí)兩種方式。2.4.1 自動(dòng)升級(jí)選中自動(dòng)升級(jí)，點(diǎn)擊確定。升級(jí)完成之后，在升級(jí)配置頁面會(huì)顯示升級(jí)成功。2.4.2 手動(dòng)升級(jí)當(dāng)天鏡Web應(yīng)用檢測(cè)系統(tǒng)不能連接外網(wǎng)時(shí)，用戶可以先手工上傳升級(jí)包文件，然后通過離線升級(jí)的功能，完成升級(jí)。點(diǎn)擊選擇文件，選擇升級(jí)包文件，點(diǎn)擊確定之后會(huì)有如下提示；點(diǎn)擊確定按鈕，如下圖：對(duì)于該系統(tǒng)漏洞庫升級(jí)成功之后，可以進(jìn)入管理中心界面，點(diǎn)擊系統(tǒng)配置菜單，

8、然后再點(diǎn)擊漏洞列表，如下圖查看漏洞是否是最新版本：2.5 配置網(wǎng)卡在收到天鏡Web應(yīng)用檢測(cè)系統(tǒng)硬件之后，需要對(duì)系統(tǒng)網(wǎng)卡進(jìn)行重新配置，如下圖：注意配置網(wǎng)卡之后，要重新啟動(dòng)系統(tǒng)，這樣才會(huì)生效。3 新手上路指導(dǎo)3.1 啟動(dòng)天鏡Web應(yīng)用檢測(cè)系統(tǒng)1、打開瀏覽器IE或FireFox，在瀏覽器的地址欄中填寫登錄天鏡Web應(yīng)用檢測(cè)系統(tǒng)的地址，如.隨后顯示天鏡Web應(yīng)用檢測(cè)系統(tǒng)的用戶登錄界面，如下圖所示。輸入天鏡Web應(yīng)用檢測(cè)系統(tǒng)默認(rèn)提供的用戶帳號(hào)/密碼：admin/venustech60；點(diǎn)擊登錄；登錄之后顯示的首頁如下圖。注意：如果天鏡Web應(yīng)用檢測(cè)系統(tǒng)無法正確訪問，請(qǐng)確認(rèn)以

9、下：l 是否是防火墻的設(shè)置有誤，天鏡安裝宿主機(jī)必須添加端口443例外以允許通過防火墻進(jìn)行通信。3.2 使用檢測(cè)中心掃描漏洞3.2.1 建立掃描任務(wù)并執(zhí)行掃描本章節(jié)內(nèi)容以建立漏洞掃描任務(wù)為例進(jìn)行說明。 快速添加站點(diǎn)點(diǎn)擊菜單欄的檢測(cè)中心，出現(xiàn)如下圖所示頁面：在添加站點(diǎn)圖標(biāo)左側(cè)的文本輸入框內(nèi)輸入，點(diǎn)擊按鈕添加站點(diǎn)，頁面如下圖所示；上圖所示的站點(diǎn)就是通過添加站點(diǎn)之后，直接通過系統(tǒng)的驗(yàn)證，開始掃描任務(wù)。 高級(jí)添加站點(diǎn)掃描如果需要對(duì)該站點(diǎn)進(jìn)行其他的設(shè)置，可以點(diǎn)擊添加站點(diǎn)按鈕右側(cè)的高級(jí)選項(xiàng)按鈕，如下圖：如果掃描站點(diǎn)任務(wù)較多，可以在上圖所示的站點(diǎn)列表里添加多個(gè)，一個(gè)站點(diǎn)一行。 注意

10、：上圖標(biāo)注的郵件通知勾選之前需要在管理中心中設(shè)置郵件服務(wù)器，如下圖所示 添加cookies掃描站點(diǎn)上圖所示的漏洞掃描設(shè)置，網(wǎng)站cookies可通過工具例如通過firefox的插件firebug獲得，獲得之后可以對(duì)網(wǎng)站cookies進(jìn)行登錄測(cè)試。如下圖所示：注意：上圖紅圈標(biāo)注的字符為該站點(diǎn)的cookies，將內(nèi)容復(fù)制到站點(diǎn)添加高級(jí)選項(xiàng)中去。 使用其他設(shè)置掃描檢測(cè)周期包括單次檢測(cè)、每日檢測(cè)、每周檢測(cè)、每月檢測(cè)四種任務(wù)模式包括常規(guī)檢測(cè)、深度檢測(cè)、快速檢測(cè)、單URL檢測(cè)，如下圖所示： 下圖所示的是漏洞類型設(shè)置，可以根據(jù)掃描的站點(diǎn)進(jìn)行選擇，默認(rèn)狀態(tài)下是全選，這樣對(duì)于站點(diǎn)是比較

11、安全的。點(diǎn)擊添加檢測(cè)之后，添加的站點(diǎn)將會(huì)在站點(diǎn)列表顯示并開始掃描任務(wù)。添加站點(diǎn)任務(wù)并開始掃描任務(wù)之后，任務(wù)列表中會(huì)顯示執(zhí)行任務(wù)的進(jìn)度等實(shí)時(shí)信息，頁面如下圖所示；3.2.2 查看掃描進(jìn)展在上圖頁面中，系統(tǒng)展示了當(dāng)前任務(wù)的當(dāng)前狀態(tài)信息和詳細(xì)狀態(tài)。當(dāng)前狀態(tài)信息主要有站點(diǎn)域名、任務(wù)名稱、最新檢測(cè)日期、檢測(cè)進(jìn)度、風(fēng)險(xiǎn)個(gè)數(shù)以及操作選項(xiàng)。如下圖：如果需要對(duì)該站點(diǎn)的設(shè)置進(jìn)行修改時(shí)，則可以通過點(diǎn)擊操作選項(xiàng)中的修改按鈕，如下圖：漏洞掃描設(shè)置跟高級(jí)選項(xiàng)添加站點(diǎn)的設(shè)置選項(xiàng)一致。點(diǎn)擊確定，然后該站點(diǎn)將會(huì)重新進(jìn)行檢測(cè)。² 詳細(xì)信息：點(diǎn)擊站點(diǎn)列表中的操作選項(xiàng)中的詳細(xì)按鈕，頁面會(huì)顯示該站點(diǎn)的詳細(xì)信息、漏洞分布、we

12、b站點(diǎn)等等，如下圖：注意：紅圈標(biāo)注的生成站點(diǎn)快照主要功能是掃描web站點(diǎn)，在變更中心中有顯示該站點(diǎn)的變更情況。3.2.3 查看掃描結(jié)果當(dāng)掃描結(jié)束以后，用戶可以對(duì)掃描的結(jié)果進(jìn)行查看。在站點(diǎn)任務(wù)列表中，點(diǎn)擊站點(diǎn)右側(cè)的詳細(xì)標(biāo)簽，系統(tǒng)顯示該站點(diǎn)的詳細(xì)掃描結(jié)果，頁面如下圖所示：同時(shí)可以點(diǎn)擊HTML格式 PDF格式按鈕，可以將該報(bào)告下載下來，如下圖格式：HTML格式PDF格式對(duì)于檢測(cè)出漏洞出來的站點(diǎn)，點(diǎn)擊該漏洞地址，查看該漏洞細(xì)節(jié)，如下圖所示：可以查看該漏洞危害、修復(fù)建議、HTTP頭、返回信息、漏洞驗(yàn)證及誤報(bào)反饋，點(diǎn)擊誤報(bào)反饋，如下圖所示：在上圖中留言欄輸入文本內(nèi)容，點(diǎn)擊反饋之后，登錄后臺(tái)管理中心，進(jìn)入誤

13、報(bào)反饋界面，如下圖所示：點(diǎn)擊操作選項(xiàng)中的詳細(xì)按鈕，如下圖所示，對(duì)該反饋進(jìn)行回復(fù)：點(diǎn)擊上圖中的反饋回復(fù)按鈕，則該回復(fù)的內(nèi)容將會(huì)在檢測(cè)結(jié)果中漏洞地址的誤報(bào)反饋中顯示。3.3 使用監(jiān)控中心對(duì)可用性監(jiān)控3.3.1 添加監(jiān)控站點(diǎn)點(diǎn)擊菜單欄中的監(jiān)控中心，進(jìn)入監(jiān)控中心頁面，如下圖所示：點(diǎn)擊上圖所示的添加監(jiān)控站點(diǎn)按鈕，進(jìn)入可用性檢測(cè)任務(wù)添加界面，如下圖：如果需要添加多個(gè)站點(diǎn)，可以在站點(diǎn)列表里面輸入，并保持一行一個(gè)站點(diǎn)，檢測(cè)類型和檢測(cè)周期根據(jù)站點(diǎn)的需求來確定，點(diǎn)擊添加檢測(cè)按鈕則會(huì)在已驗(yàn)證站點(diǎn)里顯示，如下圖：3.3.2 查看監(jiān)控詳細(xì)信息根據(jù)上圖，首先從已驗(yàn)證站點(diǎn)列表里面，可以看出該站點(diǎn)任務(wù)的監(jiān)測(cè)信息，主要包括站點(diǎn)

14、域名、任務(wù)名稱、監(jiān)控天數(shù)、檢測(cè)頻率、get可用性以及建立時(shí)間和相關(guān)操作選項(xiàng)。如果需要對(duì)該站點(diǎn)的設(shè)置進(jìn)行更改，可以點(diǎn)擊操作選項(xiàng)中的修改按鈕，如下圖所示：根據(jù)上圖，可以對(duì)相關(guān)設(shè)置進(jìn)行更改，但是不能對(duì)站點(diǎn)進(jìn)行更改，點(diǎn)擊添加檢測(cè)按鈕之后，該站點(diǎn)會(huì)重新進(jìn)行監(jiān)控。3.3.3 查看監(jiān)控結(jié)果點(diǎn)擊站點(diǎn)右側(cè)操作選項(xiàng)中的監(jiān)控詳情標(biāo)簽，彈出如下頁面：以上三張圖片是屬于監(jiān)控詳情的一個(gè)頁面，主要傳達(dá)的是關(guān)于站點(diǎn)的可用性監(jiān)測(cè)結(jié)果，第三張圖片是站點(diǎn)的監(jiān)測(cè)報(bào)警信息。點(diǎn)擊【PDF下載】和【HTML下載】，可以對(duì)該站點(diǎn)的監(jiān)測(cè)報(bào)告進(jìn)行下載瀏覽，該方式跟檢測(cè)中心中的功能操作方法一致。3.4 檢測(cè)站點(diǎn)變更情況3.4.1 手動(dòng)添加站點(diǎn)UR

15、L如果需要添加一個(gè)不在檢測(cè)中心里面的檢測(cè)列表里面的站點(diǎn)，可以直接在變更中心添加站點(diǎn)左側(cè)輸入框內(nèi)輸入該站點(diǎn)，點(diǎn)擊添加站點(diǎn)按鈕，或者也可以點(diǎn)擊高級(jí)選項(xiàng)，對(duì)該站點(diǎn)進(jìn)行詳細(xì)設(shè)置，其中高級(jí)選項(xiàng)中的站點(diǎn)快照與檢測(cè)中心中的生成站點(diǎn)快照相關(guān)設(shè)置是一致的。點(diǎn)擊確定之后，會(huì)在已驗(yàn)證站點(diǎn)列表里顯示，如下圖：點(diǎn)擊操作選項(xiàng)中的詳細(xì)按鈕，進(jìn)入詳細(xì)界面，然后再點(diǎn)擊菜單欄下方的新建按鈕，將要檢測(cè)的站點(diǎn)的相關(guān)信息填上去，如下圖：點(diǎn)擊確定按鈕之后，再回到變更中心主頁面，點(diǎn)擊該站點(diǎn)的重建按鈕，將會(huì)對(duì)該站點(diǎn)進(jìn)行重新檢測(cè)并生成相應(yīng)的MD5信息，再到變更中心詳細(xì)界面，可以看到該站點(diǎn)的詳細(xì)信息，跟在檢測(cè)中心生成的快照的信息是一致的。3.4

16、.2 生成站點(diǎn)url的快照點(diǎn)擊檢測(cè)中心中，某個(gè)站點(diǎn)的檢測(cè)結(jié)果中的web站點(diǎn)模塊的生成站點(diǎn)快照按鈕，如下圖：設(shè)置選項(xiàng)與檢測(cè)中心中的站點(diǎn)設(shè)置相似，注意站點(diǎn)URL是不能變更的。點(diǎn)擊確定，站點(diǎn)快照添加成功之后，通過點(diǎn)擊菜單欄變更中心，進(jìn)入變更中心頁面，如下圖顯示：點(diǎn)擊重建按鈕，該站點(diǎn)會(huì)在進(jìn)行重新檢測(cè)，且將以前所掃描出來的結(jié)果給覆蓋掉，點(diǎn)擊檢測(cè)按鈕，該站點(diǎn)會(huì)進(jìn)行重新檢測(cè)，且不會(huì)將先前掃描出來的結(jié)果刪除，點(diǎn)擊詳細(xì)按鈕，將會(huì)彈出如下圖所示的頁面：根據(jù)上圖，在已驗(yàn)證站點(diǎn)的右側(cè)點(diǎn)擊編輯按鈕，可以對(duì)該站點(diǎn)的相關(guān)信息進(jìn)行修改，如下圖：點(diǎn)擊查看按鈕，可以對(duì)該站點(diǎn)的信息進(jìn)行查看，如下圖點(diǎn)擊下載按鈕，可以對(duì)該站點(diǎn)信息變更之后的文件進(jìn)行下載瀏覽。3.4.3 查看變更信息點(diǎn)擊菜單欄下方的只看變更按鈕，然后再