检测到您已登录华为云国际站账号,为了您更好的体验,建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
时较长的遍历扫描。 “标准策略”:扫描的网站URL数量和耗时都介于“极速策略”和“深度策略”两者之间。 有些接口只能在登录后才能访问,建议用户配置对应接口的用户名和密码,漏洞管理服务才能进行深度扫描。 父主题: 网站扫描类
有关委托管理的详细操作,请参见创建委托。 多个IAM用户共享使用 例如,您通过注册华为云创建了1个账号(“domain1”),且由“domain1”账号在IAM中创建了2个IAM用户(“sub-user1a”和“sub-user1b”),如果您授权了“sub-user1b”用户漏洞管理服务的权限策略,则“
缺省值:5 请求参数 表3 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 用户Token,通过调用IAM服务获取用户Token接口获取(响应消息头中X-Subject-Token的值)。 最小长度:1 最大长度:102400 响应参数 状态码:
如何对Windows主机进行授权? 该任务指导用户通过漏洞管理服务对已添加的Windows主机进行扫描授权。如何授权请参考编辑Windows主机授权。 Windows主机漏洞扫描依赖于winrm服务开启,如何开启请参照如何开启WinRM服务?。 父主题: 主机扫描类
漏洞管理服务控制台总览 操作场景 该任务指导用户通过“总览”查看网站和主机扫描概况,主要展示资产信息和漏洞信息。 前提条件 已获取管理控制台的登录账号与密码。 已添加网站和主机。 查看扫描概况 登录管理控制台。 在左侧导航树中,单击,选择“开发与运维 > 漏洞管理服务”,进入“总览”界面。
在请求时将签名信息添加到消息头,从而通过身份认证。 AK(Access Key ID):访问密钥ID。与私有访问密钥关联的唯一标识符;访问密钥ID和私有访问密钥一起使用,对请求进行加密签名。 SK(Secret Access Key):与访问密钥ID结合使用的密钥,对请求进行加密签名,可标识发送方,并防止请求被修改。
任务扫描超1小时仍然未结束? 根据样本统计,单任务平均扫描耗时约1小时,扫描时长跟以下几个因素有关: 文件大小,文件越大扫描越耗时。 代码量,代码量越多扫描越耗时。 代码复杂程度,因为业务、代码实现的原因导致代码实现相对较复杂,调用链长,这些都会导致扫描耗时增加。 故部分应用扫描
打开“将本次扫描升级为专业版”的开关,将本次扫描任务升级为专业版规格进行扫描。 按需计费。 免费使用基础版配额内的Web网站漏洞扫描功能(域名个数:5个,扫描次数:每日5次)。 升级为专业版时,每次99元。 基础版按次扫描主机漏洞单价 使用基础版单次扫描主机漏洞。 当您针对基础版
登录频率限制。 异常请求等强制中断会话。 单用户登录(不允许多个客户端同时登录)。 登录失败次数限制。 扫描范围 漏洞管理服务主动爬虫会通过自动填充form表单等策略来尝试发现更多页面。 业务对随机值响应不一致导致了扫描范围不一致。 响应信息 响应信息是漏洞管理服务判断漏洞是否存在的决定性
扫描的隐私合规问题如何分析定位? 任务部分检测项有数值,但任务状态显示失败? 安全漏洞报告中问题文件或者漏洞特征信息为空? 任务扫描超1小时仍然未结束? 哪些场景下检测结果可能会存在漏报? 如何在应用检测过程中输入用户凭证登录应用? 检测过程中,无法打开详情查看手机实时检测界面怎么解决? 隐私声明UR
主机扫描支持哪些区域? 目前,主机扫描支持所有公网可以访问的区域。 父主题: 主机扫描类
扫描任务状态 状态 含义 已完成 任务扫描完成。 进行中 任务正在进行扫描。 排队中 任务正在等待执行。 如果没有设置开始扫描时间,且此时服务器没有被占用,则创建的任务可立即开始扫描,任务状态为“进行中”; 否则进入等待队列中等待,任务状态为“排队中”。 已失败 任务扫描失败。 未扫描
常见的失败原因如下: 表1 常见失败原因分析 失败原因 解决方案 文件解析异常 文件本身存在不完整、结构异常等问题,导致服务无法正常解析。提供通用的压缩、固件、包格式文件重新创建扫描任务即可。 文件上传中损坏 文件在传送过程中损坏,导致无法正确解析。重新创建扫描任务进行扫描即可。
表1 版本说明 服务版本 支持的计费方式 说明 基础版 免费 基础版主要为用户提供体验机会,仅支持开源软件漏洞扫描,扫描文件大小不能超过100M。基础版提供在线报告查看功能,不支持报告下载。每个用户默认拥有5次基础版额度,扫描失败不扣配额。 专业版 包年,按需套餐包计费 套餐
最大长度:50 请求参数 表3 请求Header参数 参数 是否必选 参数类型 描述 X-Auth-Token 是 String 用户Token,通过调用IAM服务获取用户Token接口获取(响应消息头中X-Subject-Token的值)。 最小长度:1 最大长度:102400 响应参数 状态码:
哪些场景下检测结果可能会存在漏报? 加固加壳的应用,例如通过爱加密加固。 使用不支持无障碍服务UI框架开发的应用,例如游戏。 SDK版本低于18。 父主题: 移动应用安全类
成续费。 统一包年/包月资源的到期日 统一到期日是指通过续费将包年/包月实例的到期日统一固定为一个月的某一天。 如果您购买的漏洞管理服务套餐的到期日不同,可以将到期日统一设置到固定一个日期,便于日常管理和续费。 图1展示了用户将两个不同时间到期的资源,同时续费一个月,并设置“统一到期日”后的效果对比。
如何扫描弱密码? 漏洞管理服务不支持对弱密码单独进行扫描。您可以通过查看网站扫描详情,了解弱密码的扫描情况。 有关查看网站扫描详情的操作,请参见查看网站扫描详情。 父主题: 网站扫描类
成分分析扫描无法识别组件版本常见原因有: 成分分析特征库不支持该开源软件版本。 用户引用的开源软件修改过源码,或使用时部分引用该软件功能,导致实际编译/发布文件中相关软件特征未达到工具识别阈值,造成开源软件无法识别或版本识别异常。 用户使用的开源软件包含被动依赖软件,该依赖软件可能为部分引用,造成软件无法识别或版本识别异常。
一般情况下,建议就近选择靠近您或者您的目标用户的区域,这样可以减少网络时延,提高访问速度。在除中国大陆以外的亚太地区有业务的用户,可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。 在非洲地区有业务的用户,可以选择“非洲-约翰内斯堡”区域。 在欧洲地区有业务的用户,可以选择“欧洲-巴黎”区域。