介绍

现在，你已经为你的新Ubuntu 6.0.6（Dapper Drake）盒子做了完美的设置。您甚至可能已经学习了优秀的BASE和Snort入侵检测和防御教程。作为额外的预防措施，您安装了DenyHosts以防止通过ssh进行黑客攻击。但是现在你已经在互联网上安装了新的LAMP服务器，你怎么知道你的新网络服务器是安全的呢？当然，你要测试一下！

本教程的灵感来自Tony Mobily（APress）的《强化Apache》一章，将向您展示如何设置免费的web服务器安全扫描工具Nikto。此工具将探测您的Apache设置中的漏洞，以便您了解配置中可能存在的漏洞。本教程仅指导您安装工具并运行第一次扫描。谷歌搜索或上述书籍将为您提供大量关于实际保护Apache服务器的信息。

请记住，只扫描您拥有的或您有权扫描的服务器，否则您很容易面临法律诉讼和监禁的风险。

接下来我们开始折腾。真狗技术网

1.1安装Net_SSLeay

Net_SSLeay是一个Perl模块，它增加了通过SSL连接进行连接的能力。最新版本是1.30（截至本文撰写时），可以从CPAN存储库下载。如果您计划测试启用SSL的服务器，Nikto将要求您这样做。

我通常会创建一个/src目录来下载我的所有源文件，并且会先这样做。

mkdir /src
cd /src

现在我们可以下载Net_SSLeay Perl模块源代码：

wget http://search.cpan.org/CPAN/authors/id/F/FL/FLORA/Net_SSLeay.pm-1.30.tar.gz

下载完成后，让我们解压缩它并进入未存档的文件夹：

tar -xzvf Net_SSLeay.pm-1.30.tar.gz
cd ./Net_SSLeay.pm-1.30

现在，让我们用几个简单的命令安装这个模块：

perl Makefile.PL
make
make install

1.2安装Niketo

首先，我们下载最新版本的Niketo。这可以从CIRT.net上编写该软件的安全专家的网站上检索到。

返回/src目录：

cd /src

现在获取Nikto软件（当前版本为1.35，但下面的链接应始终下载最新的稳定版本），取消存档：

wget http://www.cirt.net/nikto/nikto-current.tar.gz
tar -xzvf nikto-current.tar.gz

Nikto建立在rfp的LibWhisker之上（用于所有基本网络功能）。它包含在Nikto中，但让我们继续将其更新到最新版本（1.x分支）。

wget http://www.wiretrip.net/rfp/libwhisker/LW.pm
cp LW.pm ./nikto-1.35/LW.pm

由于Nikto只是一个perl脚本，因此不需要安装，但我们应该继续将其移动到更永久的位置，如/usr/local

mv nikto-1.35/ /usr/local/nikto

现在，让我们切换到此目录，以便更新Nikto的数据库。

cd /usr/local/nikto
perl nikto.pl -update

1.3使用Niketo–真狗技术网

既然我们都了解了最新情况，让我们出去试驾一下。

标准测试（假设您已在以下设备上直接安装了Niketo：

perl nikto.pl -h localhost

在基于完美设置指南的标准安装上运行此测试时，我发现了5个错误。没什么太关键的，3个过期通知（Apache、PHP、OpenSSL）和2个Apache配置错误（手动和图标目录仍然可以访问，让潜在的恶意黑客知道你没有做太多重新配置Apache）。

如果你想与Snort竞争，你可以添加-spiration标志，并让它尝试绕过你的IDS系统，如下所示：

perl nikto.pl -h example.com -evasion 1

将上述示例中的example.com替换为您的web服务器的URL或IP地址。规避标志有9种不同的选项。1代表随机URI编码（非UTF8）。这次扫描明显较慢，所以你可能想去做三明治。有关Nikto提供的可用选项的更多信息，请研究README文件（位于…/niko/docs/niko_usage.html或在线）。真狗技术网

总结

安全是一种存在状态，而不是一种需要实现的状态。通过测试您的配置，您可以找到可能遗漏的漏洞。然而，没有任何工具是通往安全系统的道路，而只是一个指南。强烈建议您继续自学，并订阅有关此主题的权威机构的安全警报。只有这样，你才能希望领先于坏人，并防止你和你的服务器受到威胁。

扫描愉快！ 真狗技术网