漏洞掃描軟體Nessus使用教程

　　Nessus是一個功能強大而又便於使用的遠程安全掃描器，它不僅免費而且更新極快。安全掃描器的功能是對指定網路進行安全檢查，找出該網路是 否存在有導致對手攻擊的安全性漏洞。該系統被設計為client/sever模式，伺服器端負責進行安全檢查，用戶端用來組態管理伺服器端。在服務端還採用 了plug-in的體系，允許使用者加入執行特定功能的外掛程式，這外掛程式可以進行更快速和更複雜的安全檢查。在Nessus中還採用了一個共用的資訊介面，稱之 知識庫，其中儲存了前面進行檢查的結果。檢查的結果可以HTML、純文字、LaTeX（一種文字檔格式）等幾種格式儲存。

　　看到Nessus發布了最新版本：4.2.0，而我膝上型電腦安裝的還是4.0.2，於是下載了個，裝在虛擬機器看看。

　　關於Nessus遊俠就不多說了，作為這個星球上最知名的網路隱患掃描系統（並且可以免費使用），Nessus居然沒有中文版……這一點……下面我簡單的說下Nessus 4.2.0的安裝、使用。

　　我下載的是Nessus 4.2.0 for Windows的版本，廣泛適用於Windows XP, 2003, Vista, 2008 & 7，有32 bit和64 bit的可以用，按照自己需求下載就可以了，我下載的32 bit的。

　　安裝不說了，相信看本文的都會，如果不會——建議找本Windows基礎看看 :)

　　裝完後，在菜單選擇：

　　當然，你需要擷取一個“activation code”，這個在上圖點擊後的“主介面”擷取就OK了。

　　下一步，需要“Update Plugins”，簡單說就是升級外掛程式，也就是漏洞庫升級。需要周期較長，需要等待，淡定的等待……可以在論壇灌灌水、可以在農場偷偷菜！總之時間較長，需要淡定！

　　升級完後，點上圖的“Manage Users”，添加一個屬於你的賬戶。添加介面如下圖：

　　Nessus 4.2.0和上一個版本4.0.2最大的區別就是從C/S模式改為了B/S模式，就是說你訪問系統的時候可以直接通過瀏覽器，而不必要再安裝一個可執行文 件，遠端電腦也可以訪問。在上面的帳號添加好之後，開啟瀏覽器，輸入你安裝Nessus主機的地址，主要是https方式而不是http方式訪問，端 口是8834，如我的訪問地址就是：https://192.168.1.121:8834/，輸入剛添加的帳號和密碼就Ok了。

　　主介面上面有4個按鈕，分別是：Reports（報表）、Scans（掃描）、Policies（策略）、User（使用者），其實也很簡單，一眼就能看出來有什麼作用。在User我們能進行使用者的管理，增加、修改、刪除帳號，如：User→Add則會提示：

　　輸入相關資訊即可，當然你可以選擇這個帳號是否是Administrator（管理員）。

　　要進行安全評估，則首先要制定掃描策略，然後添加掃描範圍，才能進行掃描，掃描完畢可以查看報表。就是上面說的幾個按鈕的用途。下面我們增加掃描策略：Policies→Add

　　基本上只要寫“Name”即可，如果選擇了Visibility為Shared，則別人也可以利用你這個策略進行掃描。填好後“Next”即可看到下面的介面：

　　我現在要掃描Windows主機，則在最上面選擇“Windows Credentials”即可，下面的可以為空白。然後“Next”

　　選擇“Families”即可，就是你要掃描什麼裝置，實際上如果只掃描跑WEB服務的Windows主機，選擇下面四個就可以了。選擇好後“Next”，下一步可以設定資料庫資訊，不寫了，直接“Submit”就完成。

　　添加完策略後，增加一個掃描任務，ScanS→Add

　　輸入掃描任務的名稱、選擇我們剛才建立的策略、輸入掃描目標（IP或網域名稱）後點“Launch Scan”，掃描任務就開始了！親愛的，我們現在就正在掃描了！新手激動？嘿嘿

　　一會兒就掃描完了，掃描過程中可以在“Scans”和“Reports”查看狀態，掃描完後就可以在Reports下面看到Status為“Completed”。

　　這時候雙擊“WEB Server -- YouXia”就可以查看報告了。

　　左側的“Download Report”可以下載評估報告；“Show Filters”可以設定過濾器，比如只顯示進階別警示，這樣就可以按照威脅層級進行準確篩選。

　　雙擊“Host”可以列出詳細的漏洞評估報告。如哪個連接埠存在威脅，層級是多少。你在這裡依然可以雙擊，雙擊某個連接埠就可以顯示詳細資料。我在這裡選擇1433。雙擊後可以列出有3個進階別警示。

　　雙擊某一個可以顯示詳情。

　　概要、描述、方案、CVSS、CVE編號等，當然你可以選擇“Download Report”匯出你產生的日誌到本機儲存，這樣更便於分析。

　　好了，各位，Nessus 4.2.0就說到這裡，主要是和上個版本相比，評估人員控制台從C/S變成了B/S，更適合大項目多人協作評估，介面也更加友好。是不是躍躍欲試了？