漏洞扫描服务
最佳实践
文档版本 03
发布日期 2020-07-13
版权所有 © 华为技术有限公司 2021。 保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传 播。
商标声明
和其他华为商标均为华为技术有限公司的商标。
本文档提及的其他所有商标或注册商标，由各自的所有人拥有。
注意
您购买的产品、服务或特性等应受华为公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或 特性可能不在您的购买或使用范围之内。除非合同另有约定，华为公司对本文档内容不做任何明示或默示的声 明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文 档中的所有陈述、信息和建议不构成任何明示或暗示的担保。
目 录
1 扫描具有复杂访问机制的网站漏洞... 1 A 修订记录... 8
最佳实践 目 录
1
扫描具有复杂访问机制的网站漏洞
场景说明
如果您的网站“www.example.com”除了需要账号密码登录，还有其他的访问机制
（例如，需要输入动态验证码），请您设置“cookie登录”方式进行网站漏洞扫描，
以便VSS能为您发现更多安全问题。
在添加域名并完成域名认证后，请您参照本文档对具有复杂访问机制的网站
（“www.example.com”）进行漏洞扫描，操作流程如下：
①获取网站的cookie值 → ②设置网站“cookie登录”方式 → ③创建扫描任务 → ④ 查看扫描结果并下载扫描报告
前提条件
已添加域名并完成域名认证。有关添加域名和域名认证的详细操作，请参见添加域名 并完成域名认证。
步骤 1：获取网站的 cookie 值
须知
为了确保获取的cookie值有效，请您在获取cookie值后保持网页的登录状态，再执行 步骤2：设置网站cookie登录方式～步骤4：查看扫描结果并下载扫描报告。
以Google Chrome浏览器为例说明，获取网站的cookie值的步骤如下：
步骤1 打开Google Chrome浏览器。
步骤2 按“F12”，进入浏览器的开发者模式。
步骤3 在地址栏中输入目标网站地址“www.example.com”。
步骤4 在调试页面中，选择“Network > XHR” ，如图1-1所示。
漏洞扫描服务
最佳实践 1 扫描具有复杂访问机制的网站漏洞
图1-1 Network 页面
步骤5 在左侧导航树中，选择一个http请求。
步骤6 在“Headers”页面的“Request Headers”区域框，获取当前网站页面的“Cookie”
字段值，如图1-2所示。
图1-2 获取 cookie 值
----结束
步骤 2：设置网站“cookie 登录”方式
请参照以下操作步骤设置“cookie登录”方式。
步骤1 登录管理控制台。
步骤2 进入网站登录设置入口，如图1-3所示。
最佳实践 1 扫描具有复杂访问机制的网站漏洞
图1-3 进入网站登录设置入口
步骤3 在弹出的“编辑”对话框中，将图1-2中网站的cookie值完整复制到“cookie值”文本 框中，如图1-4所示。
漏洞扫描服务
最佳实践 1 扫描具有复杂访问机制的网站漏洞
图1-4 设置 cookie 登录方式
步骤4 在“验证登录网址”文本框中输入用于验证登录的网址。
输入登录成功后才能访问的网址，便于VSS快速判断您的登录信息是否有效。
步骤5 勾选“我已阅读并同意《华为云漏洞扫描服务声明》”，单击“确定”，完成网站登 录设置。
----结束
步骤 3：创建扫描任务
须知
创建扫描任务时，请您保持网站的登录状态，以免cookie失效。
最佳实践 1 扫描具有复杂访问机制的网站漏洞
步骤1 在该域名所在行的“操作”列，单击“扫描”，如图1-5所示。
图1-5 创建扫描任务
步骤2 在“创建任务”界面，根据扫描需求，设置扫描参数，如图1-6所示。
关于扫描项的详细介绍，请参见创建扫描任务。
漏洞扫描服务
最佳实践 1 扫描具有复杂访问机制的网站漏洞
图1-6 创建扫描任务
步骤3 单击“开始扫描”。
如果没有设置开始扫描时间，且此时服务器没有被占用，则创建的任务可立即开始扫 描，任务状态为“进行中”；否则进入等待队列中等待，任务状态为“等待中”。
----结束
最佳实践 1 扫描具有复杂访问机制的网站漏洞
步骤 4：查看扫描结果并下载扫描报告
扫描任务执行成功（域名的“上一次扫描结果”状态为“已完成”），您可以查看扫 描结果并下载扫描报告。
步骤1 在该域名所在行的“上一次扫描结果”列，单击扫描得分。
步骤2 在扫描任务详情界面，查看扫描结果，如图1-7所示。
图1-7 查看扫描任务详情
步骤3 单击右上角的 ，将网站扫描报告下载到本地，查看详细的扫描结 果。
报告目前只支持PDF格式。
----结束 漏洞扫描服务
最佳实践 1 扫描具有复杂访问机制的网站漏洞
A
修订记录
发布日期 修改说明
2021-07-13 第三次正式发布。
删除通过VSS扫描内网网站。
2020-05-21 第二次正式发布。
新增通过VSS扫描内网网站。
2019-11-07 第一次正式发布。
最佳实践 A 修订记录
