企业

分析扫描结果

  • 最近更新时间:2022年4月6日

  • 阅读时间:3分钟

在本教程中,我们将向您展示如何使用仪表板和分析功能来解释扫描结果并开始采取步骤解决任何问题。

步骤1:获取您网站安全姿势的摘要

选择您的扫描,然后去概述标签。这包含各种图表,可让您快速了解您的网站的安全性。如果您的扫描仍在运行,则这些漏洞会实时更新,因为检测到更多的漏洞。

Burp Suite Enterprise Edition的概述屏幕

步骤2:查看确定的问题

问题标签查看到目前为止扫描已确定的所有安全问题的列表。这些是根据问题的估计严重程度进行颜色编码的。

问题按类型分组。您可以扩展每种问题类型,以查看检测到的所有URL。

Burp Suite Enterprise Edition的问题视图

步骤3:过滤问题列表

面对大量问题时,您需要优先考虑。使用列表顶部的按钮应用过滤器,以便仅与高的严重性和肯定显示置信度等级。

过滤Burp Suite Enterprise Edition中的问题清单

笔记

置信度取决于用于检测每种类型问题的技术的固有准确性。置信度较低的问题可能需要手动确认。

步骤4:获取有关此问题的更多信息

选择其中一个URL跨站点脚本(反映)被检测到。

咨询选项卡提供信息,以帮助您了解问题是什么以及可以采取什么措施来解决问题。在某些情况下,您会发现beplay体育能用吗网络安全学院,您可以在其中练习在一系列故意脆弱的网站上利用该问题。beplay体育能用吗

Burp Suite Enterprise Edition中看到的脆弱性信息和补救建议

步骤5:检查证据

其他标签显示了Burp扫描仪为该问题发现的证据。有什么样的证据取决于问题类型。在这种情况下,您可以看到包含相关HTTP请求和响应片段的选项卡。

打开请求并注意Burp扫描仪发送到您网站的概念验证有效载荷。这是红色突出显示的。

Burp Suite Enterprise Edition中显示的HTTP请求,突出显示了XSS有效载荷

打开响应并观察到此有效负载反映在返回的HTML内容中,有可能使攻击者能够在另一个用户的浏览器中执行任意JavaScript。

步骤6:排除误报

手动审查报告的问题后,您可能会认为它实际上是假阳性。扫描完成后,选择任何问题,然后单击标记为误报

提示您将此更改应用于网站其他地方的类似问题,但是就目前而言,只需接受默认设置即可。

在Burp Suite Enterprise Edition中将问题标记为假阳性

步骤7:报告您的发现

您通常需要向无法访问Burp Suite Enterprise Edition的其他利益相关者报告扫描结果。例如,您需要将任何发现的详细信息传递给开发团队,以便他们可以进行修复。

回到扫描并打开报告和日志标签。下载详细报告,包括高度和中等严重性问题,并排除了误报。

在Burp Suite Enterprise Edition下载自定义报告

使用扫描结果

如果您想了解有关使用扫描结果的更多信息,请查看以下视频,以获取基本知识的导游:

下一步 -继续学习Burp Suite Enterprise Edition

继续