① fortify sca及webinspect分別做哪一方面的安全測試，並簡單闡述它們的工作原理
fortify sca 是做源代碼安全掃描的，白盒工具
webinspect是做WEB應用安全掃描的，相當於做滲透測試。黑盒工具。
不過這兩者掃描的結果可以一起做分析 ，效果很好。
② .Web服務的原理是什麼，描述一下Web服務的基本架構和主要技術。
提供一種統一的、面向組件的編程模型。
Web Service的體系結構描述了三個角色（服務提供者、服務請求者、服務代理者）以及三個操作（發布、查找、綁定）。
Web主要技術特徵：在傳輸層和網路層採用TCP/IP協議，預設斷口的80；在應用層採用HTTP協議，使用HTML文檔實現信息交互；基本上運行在C/S模式下。
③ web的工作原理
web的工作原理：
1、用戶在瀏覽器中輸入要訪問的web站點地址或在已打開的站點點擊超鏈接。
2、由DNS進行域名解析，找到伺服器的IP地址，向該地址指向的web伺服器發出請求。
3、web伺服器根據請求將URL地址轉換為頁面所在的伺服器上的文件全名，查找相應的文件。
4、若URL指向靜態文件，則伺服器將文件通過http協議傳輸給用戶瀏覽器；若HTML文檔中嵌入了ASP,PHP,JSP等程序，則由伺服器直接運行後返回給用戶；
如果web伺服器所運行程序包含對資料庫的訪問，伺服器會將查詢指令發送給資料庫伺服器，對資料庫執行查詢操作，查詢結果由資料庫返回給web伺服器，再由web伺服器將結果潛入頁面，並以html格式發送給瀏覽器。
5、瀏覽器解釋html文檔，在客戶端屏幕上展示結果。
(3)web掃描原理擴展閱讀
web的特點
1、圖形化
Web 非常流行的一個很重要的原因就在於它可以在一頁上同時顯示色彩豐富的圖形和文本的性能。在Web之前Internet上的信息只有文本形式。Web可以提供將圖形、音頻、視頻信息集合於一體的特性。
2、與平台無關
無論用戶的系統平台是什麼，你都可以通過Internet訪問WWW。瀏覽WWW對系統平台沒有什麼限制。無論從Windows平台、UNIX平台、Macintosh等平台我們都可以訪問WWW。
3、分布式的
大量的圖形、音頻和視頻信息會佔用相當大的磁碟空間，我們甚至無法預知信息的多少。對於Web沒有必要把所有信息都放在一起，信息可以放在不同的站點上，只需要在瀏覽器中指明這個站點就可以了。
4、動態的
由於各Web站點的信息包含站點本身的信息，信息的提供者可以經常對站上的信息進行更新。如某個協議的發展狀況，公司的廣告等等。一般各信息站點都盡量保證信息的時間性。所以Web站點上的信息是動態的、經常更新的，這一點是由信息的提供者保證的。
5、交互的
Web的交互性首先表現在它的超鏈接上，用戶的瀏覽順序和所到站點完全由他自己決定。另外通過FORM的形式可以從伺服器方獲得動態的信息。用戶通過填寫FORM可以向伺服器提交請求，伺服器可以根據用戶的請求返回相應信息。
④ 簡述web工作原理
Web的工作原理：
1、瀏覽器地址欄輸入想要訪問網站首頁的地址；
2、用戶向瀏覽器發送訪問首頁的請求；
3、伺服器收取客戶端的的訪問請求；
4、伺服器處理請求（若首頁動態文檔需要經過數據處理再返回，若為靜態文檔直接返回該文檔即可）；
5、伺服器將請求的處理結果在客戶端的瀏覽器顯示。
(4)web掃描原理擴展閱讀：
web工作表現形式
1、超文本（Hyper text）
超文本是一種用戶介面方式，用以顯示文本及與文本相關的內容。現時超文本普遍以電子文檔的方式存在。
其中的文字包含有可以鏈接到其他欄位或者文檔的超文本鏈接，允許從當前閱讀位置直接切換到超文本鏈接所指向的文字。
2、超媒體（hypermedia）
超媒體是超級媒體的簡稱。是超文本（hypertext）和多媒體在信息瀏覽環境下的結合。用戶不僅能從一個文本跳到另一個文本，而且可以激活一段聲音，顯示一個圖形，甚至可以播放一段動畫。
Internet採用超文本和超媒體的信息組織方式，將信息的鏈接擴展到整個Internet上。Web就是一種超文本信息系統，Web的一個主要的概念就是超文本鏈接。
3、超文本傳輸協議（HTTP，HyperText Transfer Protocol)是互聯網上應用最為廣泛的一種網路協議。
參考資料來源：網路—web
⑤ web漏洞掃描工具原理是什麼
掃描工具 Domain2.2 -集WHOIS查詢、上傳頁面批量檢測、木馬上傳、資料庫瀏覽及加密解密於一體。 X-way 2.5 -不錯的掃描器，功能多，使用也不難，入侵必備。 SuperScan 3.0 -強大的TCP 埠掃描器、Ping 和域名解析器。 Namp 3.5 -安全界人人皆知的非常有名氣的一個掃描器，作者Fyodor。 Hscan v1.20 -運行在Win NT/2000下的漏洞掃描工具，有GUI以及命令行兩種掃描方式。 SSS -俄羅斯安全界非常專業的一個安全漏洞掃描軟體。 U-Scan.exe -非常好的UNICODE漏洞掃描工具。 RpcScan V1.1 -可以通過135埠枚舉遠程主機RPC連接信息。 SHED 1.01 -一個用來掃描共享漏洞的機器的工具。 DSScan V1.00 -ms04-011遠程緩沖區溢出漏洞掃描專用。 Dotpot PortReady1.6 - 「綠色軟體，」無需安裝，非常小巧（23KB），具有極快的掃描速度。 WebD***Scan v1.0 -針對WEBD***漏洞的掃描工具。 注意：該軟體會被查殺！ Socks Proxy Finder2 -掃描埠速度非常快的一個工具，掃描完畢後還可以導出保存起來。 SQLScan v1.2 -猜解開著1433埠的主機密碼工具。 RPC漏洞掃描器 v1.03 -針對RPC漏洞掃描的工具! 流光5.0 破解版 -國內有名的黑客掃描工具，由高級程序員小榕編寫。 WIN2K自動攻擊探測機 -Windows NT/2000 自動攻擊探測機。 4899空口令探測 -能夠快速的掃描到被安裝了radmin服務端4899埠的空口令IP。注意：會被查殺！ 關鍵是你沒說你用哪種啊 ~ 具體是哪款~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
⑥ web應用防火牆(WAF)的基本原理是什麼
WAF，又名Web應用防火牆，能夠對常見的網站漏洞攻擊進行防護，例如SQL注入、XSS跨站等；目前WAF最基本的防護原理為特徵規則匹配，將漏洞特徵與設備自身的特徵庫進行匹配比對，一旦命中，直接阻斷，這種方法能夠有效防範已知的安全問題，但是需要一個強大的特徵庫支持，特徵庫需要保證定期更新及維護；但是對於零日漏洞（未經公開的漏洞），就需要設備建立自學習機制，能夠根據網站的正常狀態自動學習建立流量模型，以模型為基準判斷網站是否遭受攻擊。
⑦ 如何進行Web漏洞掃描
Web漏洞掃描通常採用兩種策略，第一種是被動式策略，第二種是主動式策略。所謂被動式策略就是基於主機之上，對系統中不合適的設置、脆弱的口令以及其他與安全規則抵觸的對象進行檢查;而主動式策略是基於網路的，它通過執行一些腳本文件模擬對系統進行攻擊的行為並記錄系統的反應，從而發現其中的漏洞。利用被動式策略的掃描稱為系統安全掃描，利用主動式的策略掃描稱為網路安全掃描。 Web漏洞掃描有以下四種檢測技術： 1.基於應用的檢測技術。它採用被動的、非破壞性的辦法檢查應用軟體包的設置，發現安全漏洞。 2.基於主機的檢測技術。它採用被動的、非破壞性的辦法對系統進行檢測。通常，它涉及到系統的內核、文件的屬性、操作系統的補丁等。這種技術還包括口令解密、把一些簡單的口令剔除。因此，這種技術可以非常准確地定位系統的問題，發現系統的漏洞。它的缺點是與平台相關，升級復雜。 3.基於目標的漏洞檢測技術。它採用被動的、非破壞性的辦法檢查系統屬性和文件屬性，如資料庫、注冊號等。通過消息文摘演算法，對文件的加密數進行檢驗。這種技術的實現是運行在一個閉環上，不斷地處理文件、系統目標、系統目標屬性，然後產生檢驗數，把這些檢驗數同原來的檢驗數相比較。一旦發現改變就通知管理員。 4. 基於網路的檢測技術。它採用積極的、非破壞性的辦法來檢驗系統是否有可能被攻擊崩潰。它利用了一系列的腳本模擬對系統進行攻擊的行為，然後對結果進行分析。它還針對已知的網路漏洞進行檢驗。網路檢測技術常被用來進行穿透實驗和安全審記。這種技術可以發現一系列平台的漏洞，也容易安裝。但是，它可能會影響網路的性能。 網路Web漏洞掃描 在獲得目標主機TCP/IP埠和其對應的網路訪問服務的相關信息後，與網路漏洞掃描系統提供的漏洞庫進行匹配，如果滿足匹配條件，則視為漏洞存在。此外，通過模擬黑客的進攻手法，對目標主機系統進行攻擊性的安全漏洞掃描，如測試弱勢口令等，也是掃描模塊的實現方法之一。如果模擬攻擊成功，則視為漏洞存在。 在匹配原理上，網路漏洞掃描器採用的是基於規則的匹配技術，即根據安全專家對網路系統安全漏洞、黑客攻擊案例的分析和系統管理員關於網路系統安全配置的實際經驗，形成一套標準的系統漏洞庫，然後再在此基礎之上構成相應的匹配規則，由程序自動進行系統漏洞掃描的分析工作。 所謂基於規則是基於一套由專家經驗事先定義的規則的匹配系統。例如，在對TCP80埠的掃描中，如果發現/cgi-bin/phf/cgi-bin/Count.cgi，根據專家經驗以及CGI程序的共享性和標准化，可以推知該WWW服務存在兩個CGI漏洞。同時應當說明的是，基於規則的匹配系統有其局限性，因為作為這類系統的基礎的推理規則一般都是根據已知的安全漏洞進行安排和策劃的，而對網路系統的很多危險的威脅是來自未知的安全漏洞，這一點和PC殺毒很相似。 這種Web漏洞掃描器是基於瀏覽器/伺服器(B/S)結構。它的工作原理是：當用戶通過控制平台發出了掃描命令之後，控制平台即向掃描模塊發出相應的掃描請求，掃描模塊在接到請求之後立即啟動相應的子功能模塊，對被掃描主機進行掃描。通過分析被掃描主機返回的信息進行判斷，掃描模塊將掃描結果返回給控制平台，再由控制平台最終呈現給用戶。 另一種結構的掃描器是採用插件程序結構。可以針對某一具體漏洞，編寫對應的外部測試腳本。通過調用服務檢測插件，檢測目標主機TCP/IP不同埠的服務，並將結果保存在信息庫中，然後調用相應的插件程序，向遠程主機發送構造好的數據，檢測結果同樣保存於信息庫，以給其他的腳本運行提供所需的信息，這樣可提高檢測效率。如，在針對某FTP服務的攻擊中，可以首先查看服務檢測插件的返回結果，只有在確認目標主機伺服器開啟FTP服務時，對應的針對某FTP服務的攻擊腳本才能被執行。採用這種插件結構的掃描器，可以讓任何人構造自己的攻擊測試腳本，而不用去了解太多掃描器的原理。這種掃描器也可以用做模擬黑客攻擊的平台。採用這種結構的掃描器具有很強的生命力，如著名的Nessus就是採用這種結構。這種網路Web漏洞掃描器是基於客戶端/伺服器(C/S)結構，其中客戶端主要設置伺服器端的掃描參數及收集掃描信息。