# 介紹好用工具：Paros ( 網站安全性掃瞄工具 )

現在越來越多客戶會要求要上線的網站必須提供安全性掃瞄報告，之前我[曾經介紹過](/post/2008/07/04/Google-opens-up-ratproxy-code-to-secure-your-web-environment)一套 [RatProxy](http://code.google.com/p/ratproxy/) 工具，感覺是不錯，掃瞄的結果也十分的詳細(..繁瑣..)，也因為缺乏 UI 其實使用上蠻不方便的。正好我們最近一個上線的網站又被要求做安全性檢測，而這次是由客戶主動要求要用 [Paros](http://www.parosproxy.org/) 掃瞄工具進行檢測。

[Paros](http://www.parosproxy.org/) 是一套完全以 Java 開發而成的網站應用程式資訊安全掃瞄工具(web application security assessment tool)，以開放原始碼的方式釋出，該工具提供一些基礎的 UI 可供操作，使用上並不複雜，基本上就幾個步驟即可完成掃瞄。

![Paros - for web application security assessment](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/265a0774ff46098f6aad-image_3.png)

[Paros](http://www.parosproxy.org/) 可掃瞄的項目雖然不多，但是都是最重要也最常見的幾個資安問題，像是 XSS, SQL Injection, Information gathering, ... 等等。不過畢竟是屬於**黑箱檢測**的工具，我覺得能掃瞄出來的問題應該也是有限！我個人認為「原始碼掃瞄」才是王道，但通常這類工具都價格不斐。

要開始使用 [Paros](http://www.parosproxy.org/) 只要依循以下步驟即可完成掃瞄並取得報表：

1.  開啟 [Paros](http://www.parosproxy.org/) 工具
2.  設定瀏覽器或其他 HTTP Client 的 Proxy 伺服器設定，預設是走本機的 8080 Port (如下圖)  
    ![IE7 -> 工具 -> 選項 -> 連線 -> 區域網路 (LAN) 設定](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/254972004703ceb6a452-image_6.png)
3.  開始**人工**瀏覽或操作網站 ( 跟 [RatProxy](http://code.google.com/p/ratproxy/) 一樣是屬「半自動」且「被動式」的偵測方法 )，[Paros](http://www.parosproxy.org/) 會幫你錄下所有網站操作過程的所有細節，包括所有 HTTP Request/Response Header，好在之後錄製完成後進行嘗試性的攻擊與分析。
4.  接著你可以設定 Paros 工具中 **Analyze** 選單內的 **Scan Policy** 項目，選取你要檢測的方法有哪些，這裡內建了一些常見的網站安全性漏洞檢測，但也有可能有些是你不要的項目，可以不要勾選，例如說你要檢測 ASP.NET 的網站，Java 相關的檢查項目就可以取消掉。
5.  接著點選 **Analyze** 選單內的 **Scan All** 項目開始進行掃瞄。
6.  掃瞄完畢後，點選 **Report** 選單內的 **Last Scan Report** 就會取得最後的檢測報告。

上面的第 3 步雖然是「被動式」的偵測方法，不過 [Paros](http://www.parosproxy.org/) 也有提供一個「全自動」的 Spider 可以幫你自動抓網頁回來檢測，只要第 2 步驟完成 Proxy 伺服器設定後，開啟 Browser 先讀取要檢測網站的第一頁，讓 [Paros](http://www.parosproxy.org/) 先錄下首頁的網址，然後在 [Paros](http://www.parosproxy.org/) 選取該網址，並點選滑鼠右鍵，選擇 Spider 選單。

![Paros - Spider](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/db162bd41354d7f4598f-image_13.png) 

選完後再點選 **Start** 按鈕，就會開始抓取網頁了！只是有些 Web Application 因為需要登入，所以必須要先透過登入的動作才能操作，這部分透過 Spider 就無法自動檢測了，你還是必須手動瀏覽使用網站。

![Paros - Spider Dialog](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/7ce030e74c5e30581255-image24.png)

**最後掃瞄的結果格式如下圖示：**

![Paros Scanning Report](https://stwillblogassets.blob.core.windows.net/files/images/external/stwillblogassets.blob.core.windows.net/1e2524e1716a28fe3a4b-image16.png)

**相關連結**

-   [Paros - for web application security assessment](http://www.parosproxy.org/)
-   [Paros User Guide for Paros v2.x](http://www.parosproxy.org/paros_user_guide.pdf) \[PDF\]
-   [Paros @ SourceForge.net](https://sourceforge.net/projects/paros/)
-   [以 Paros 掃描 Web 程式漏洞](https://web.archive.org/web/20220703001505/https://www.openfoundry.org/index.php?option=com_content&task=view&id=8385&Itemid=4;isletter=1)