這一節要跟大家介紹如何使用弱點掃描工具 Acunetix Web Vulnerability Scanner(WVS)， 並且可以產出符合 OWASP Top 10 的資訊安全報告。
開始說明 Acunetix 之前，我們先來聊聊什麼是「OWASP Top 10」：
OWASP (Open Web Application Security Project) 是一個開放社群組織，致力於解決資訊安全為宗旨。會依年度列出10大資訊安全漏洞，而目前最新的漏洞標準是 OWASP Top 10–2013，下面列出目前是以哪10大資訊安全漏洞為主：
- A1 – Injection(注入攻擊)
- A2 – Broken Authentication and Session Management(失效身分驗證功能)
- A3 – Cross-Site Scripting (XSS)(跨站腳本攻擊)
- A4 – Insecure Direct Object References(引用不安全物件)
- A5 – Security Misconfiguration (安全設定錯誤)
- A6 – Sensitive Data Exposure(洩漏敏感資訊)
- A7 – Missing Function Level Access Control(功能存取控制缺失)
- A8 – Cross-Site Request Forgery (CSRF)(跨站偽造請求)
- A9 – Using Known Vulnerable Components(使用已知漏洞組件)
- A10 – Unvalidated Redirects and Forwards(未驗證的導向與轉發)
談完了10大資訊安全漏洞後，接下來就開始這一節的主角 —Acunetix。
一樣先來張圖解大綱：
Step 1: Run Acunetix WVS 10.5 from "Start" panel.
Step 2: Enter the target server IP or URL and Port for scanning.
Step 3: Select scanning profile as "Default"
Step 4: Double check the target information for this scanning.
Step 5: Enter Authentication if necessary.(ex. username and password)
Step 6: Click "Finish" for start this scanning.
Step 7: Vulnerability scanning in process and wait until finish.
Step 8: Click "Tools" then select "Reporter"
Step 9: Show a new WVS Reporter window.
Step 10: From the left hand side pane select "Compliance Report" and then click on "Report Wizard" from the right hand side section.
Step 11: Now select the OWASP Top 10 report 2013 (or any other compliance report) then click "Next"
Step 12: For Filter Scans, just keep for default select "Display all scans" then click "Next"
Step 13: Select the target IP which just finished the scanning.
Step 14: Report Properties, tick all then click "Generate"
Step 15: After a while the OWASP Top 10 2013 report has been generating.
Step 16: Example of this lists A5, A6 and A9 has founded the alerts.
Example of this shows "All Pass" of this OWASP Top 10 2013.
Step 17: Click 
to save report.
to save report.
Step 18: Name a report name and save as .pre file for WVS then click "Save"
Step 19: Click 
to export the report format.(ex. PDF, HTML, Text, Word and BMP)
to export the report format.(ex. PDF, HTML, Text, Word and BMP)
Step 20: For this case export as a PDF file.
Step 21: Select others export settings and details. Keep for default then click "OK"
Step 22: Name a report name and save as a PDF format report then click "Save"
Step 23: Now has generated a official OWASP Top 10 of Vulnerability Report.
經過了 Acunetix WVS 漫長的弱點掃描之後，最後產出一份符合 OWASP Top 10 的正式文件。這是一項耗時又費力的工作，因為一般的弱點掃描都不只是掃過一、兩次就完事了，多數在經過無數次的掃描過後，要將掃出的弱點修復，之後再掃、再修復、再掃，直到完全修復所有掃出的弱點後，並修補完漏洞為止。想想這是一項多麼曠日廢時的工程啊 @@
其實做弱點掃描一點都不難，只要選對工具且設定好基本選項後，就可以開始執行弱點掃描。而難的是在掃完後的分析及修補漏洞的方法，這才是做弱點掃描最主要的目的。
如何防範資訊安全這個 Subject 並不是一項簡單任務，這項技術在在考驗著技術人員的專業與經驗，隨時隨地要跟 Hacker 鬥智鬥法，防範於資訊破壞事件發生之前。在國外這門專業領域都是交由公司獨立的「資訊安全部門」在負責，反觀台灣IT業界的中小企業主們，對於資訊安全領域這塊，並沒有真的很重視。一般都是交由公司的MIS部門 or 部分交給QA部門所兼任，老實說術業有專攻，各領域都有其專業性，有時候並不是信手捻來就可以執行的簡單任務，不是嗎? ^^
這節我們先介紹到這裡，如果還有機會，我們再來用實際案例介紹如何分析及修復弱點的方法。我們下次見~ Bye Bye!
~ See you ~
參考出處：
http://www.acunetix.com/
https://www.owasp.org/index.php/Main_Page
