- ：好了, 现在我们已经成功安装了Nexpose, 让我们看看如何运行该工具,
看看该工具是什么｡
我知道我们谈了很多,
我们经历了安装过程,
但你仍然没有看到这个工具的功能｡
这是这个工具的主页｡
而且, 正如你现在所看到的, 一切都是空的｡
在我开始讨论所有内容的含义之前, 我们先添加目标,
然后进行测试, 我们会看到,
因为这些内容将在我们进行测试后填充｡
我要做的第一件事就是点击Create然后点击Site来添加目标｡
我将把这个目标称为“metaesploitable”,
我将转到资产并添加目标｡
因此, 目标的排列方式可以与我们在使用Zenmap进行网络渗透时添加目标的方式相同｡
因此, 您可以添加范围, 也可以添加特定IP｡
因此, 在此, 我们实际上是针对Metasploitable机器｡
所以我们要加上我们的目标,
10, 20, 14, 2, 0, 4｡
在此确认｡ 这是我们的元可利用机器, 10,
20, 14, 2, 0, 4｡
我们将把它添加到一个组中, 我们也称之为“metasploitable”｡
而我们称之为“测试”｡
这是我们的组名｡
现在, 在身份验证部分, 如果目标使用某种身份验证,
则任何人都无法访问目标, 除非他们需要使用某种服务进行身份验证｡
例如, 如果是FTP服务或Web http身份验证,
则为TELNET或SQL服务器｡
因此, 您可以从这里选择它,
输入域､ 用户名､ 密码, 然后确认您的密码｡
这样, 框架就能够对该服务进行身份验证,
并测试服务器的安全性｡
现在, 我们的服务器不使用任何类型的身份验证, 所以我们不需要这样做｡
此外, 如果您的目标是Web应用程序, 并且该Web应用程序具有登录页面（例如,
用户的登录页面, 如Facebook）｡
假设你的目标是Facebook｡
然后, 除非您使用特定的用户名和密码登录,
否则您将无法访问Facebook的大多数功能｡
因此, 再次使用此功能,
您可以登录并测试目标的安全性｡
"Templates（模板）“是您选择扫描类型的位置｡
因此, 它与Zenmap的扫描类型非常相似｡
我们在Zenmap中看到, 我们有快速扫描､
快速扫描+和密集扫描｡ 这是一样的｡
所以每一个档案都是不同的｡
它扫描不同的东西｡
例如, 我们这里有全面的审核,
这需要很多时间, 但基本上检查了所有内容｡
这样, 您就可以在没有Web Spider的情况下进行全面的审计增强日志记录｡
因此, Web Spider是一种工具或脚本,
它可以查找目标中的所有文件和目录｡
而默认的一个是没有Web Spider的完全审计｡
这就是我们要做的｡
您还可以使用特定于网络的配置文件｡
您还可以进行Web审核｡
所以我真的鼓励你尝试所有的或者大部分的方法,
让自己熟悉它们｡
现在我们只试这一个因为使用它们是一样的｡
它将扫描ICMP､ TCP和UDP端口｡
所以我还是把它留下｡
我也将保留相同的引擎,
这意味着它将使用我们安装的本地引擎,
而不是使用Rapid7提供的引擎｡
和警报, 您可以设置自定义警报｡
因此, 当发现漏洞时,
您会收到通知｡
日程安排是一个非常非常酷的功能｡
现在, 假设你为一家公司或企业工作,
它每天都在推动代码, 新代码｡
又比如说, 你今天做了一个测试,
你的代码做的一切都很好｡
您的Web服务器､ 程序和应用程序｡
所有内容都是最新的,
没有漏洞｡
假设明天你推送了一个新的易受攻击的代码,
或者明天有人发现了你在Web服务器上使用的程序的一个新漏洞｡
所以你不再安全了｡
因此, 此功能允许您计划此测试, 使其每周､
每小时或每月运行一次, 具体取决于它的重要程度｡
您只需创建一个时间表, 然后设置开始日期和结束日期,
并设置频率, 每天､
每周四､ 每26日,
或者根据您的需要｡
您可以创建一个计划, 然后在指定的每个时间间隔运行扫描｡
甚至你也可以让它为你生成一份报告｡
因此, 您可以查看报告, 了解哪些内容发生了变化或发现了哪些内容｡
所以现在一切都很好｡
今天最重要的部分, 或者说我们在这里所做的是你把你的目标放在这里｡
接下来是选择模板｡
我们选择了这两个选项,
然后执行保存和扫描, 这将保存此配置并为我们启动扫描｡
现在, 如你所见, 我们的资产发现正在进行中｡
我要暂停视频｡
之后, 我们将讨论我们得到的结果｡