webinspect----华克斯-webinspect

hpfortifywebinspect混合分析

静态，动态和运行时刻分析相结合的安全测试

静动态安全测试关联分析

?  通过hp

webinspect获得动态应用安全测试的结

 果

?  通过hp

fortify

sca获得静态源代码安全测试的

 结果

?  通过hp

webinspect

agent获得web应用运行时刻

 日志信息

主要的收益

?  提高安全性测试结果的关联性性

?  减少来解决安全问题的时间

?  按照优先级处理漏洞节省资源

webinspect 检测站点缺陷spi 动态的软件---了安全补丁。问题解决在完全扫描中， 我对使用 sql 数据库的站点运行， webinspect 查看了 web 窗体中的参数。然后， 它对它们进行了操作，webinspect---， 并执行了 sql 命令注入，webinspect版本， 其中---提供的数据进入 sql 查询字符串。该站点有一个 bug， 使攻击者能够在表单中传递隐藏的用户 id 参数来执行会话---。几分钟后， ---的程序员看到的报告， 他们能够发布一个单一的 javasc ript 线的修复程序。该报告帮助程序员理解了这个问题--一个不正确的参数验证--因此他们可以设计出一个解决方案。

webinspect 试验台---放大

我在修补默认的 iis 服务器安装上运行攻击扫描。你可以从突击测试中看到一份报告。它显示了攻击扫描的输出，webinspect， 包括对该漏洞的详细描述以及如何修补它。除其他外， webinspect 发现网络打印协议缓冲区溢出。该报告包括一个指向可能执行此攻击的程序源代码的链接， 以及的 microsoft 和 eeye 咨询页面。该报告还显示了找到的每个电子邮件地址 (垃圾邮件地址收集)、隐藏的页和字段、代码中的注释、窗体和页面上的 javasc ript。webinspect 的功能包括支持基本和 ntml 的身份验证以及对十六进制、unicode、base64 和 md5 进行编码或解ma的工具。