问题标签 [nessus]

在运行 nessus 扫描时，它报告了一些严重程度为“信息”的问题。我们是否应该将这些视为针对该产品/模块的安全漏洞。

Nessus 文档在这方面不是很清楚。想知道行业普遍的做法是什么。

我正在尝试使用 python 自动运行和下载 nessus 扫描。我一直在使用 nessrest api for python，并且能够成功运行扫描，但没有成功下载 nessus 格式的报告。

任何想法我怎么能做到这一点？我一直在使用模块 scan_download，但它实际上是在我的扫描完成之前执行的。

我在这里先向您的帮助表示感谢！

我下载了一个 ruby​​ 脚本，它连接到 API，可以一次性下载所有报告。但是，当我下载这些报告时，在实际文件名中包含开始时间和结束时间对我来说至关重要。我能够修改我的脚本以删除它自动附加到文件名的 6 个垃圾字符，并且为了进行测试，我可以在 csv 扩展名之前添加“2x”（我打算只下载 csv 格式）。

问题是 Nessus API 没有提供能够提取此开始和结束时间的变量。我唯一的其他选择是从网站本身获取它。实际报告位于https://nessus-scanner-ip/#/scans/<id>/hosts。当作为内容访问该链接时，会列出开始时间和结束时间。如何提取这个时间并将其附加到军事时间的报告文件名中？

谢谢你的帮助。

Nessus Vulnerability Scanner 针对旧代码网站运行。关于如何使用 PHP 防止空字节注入攻击有很多建议，但我找不到任何关于在经典 ASP 中使用 VBScript 解决此问题的任何信息。

这是扫描仪对我们公共站点的攻击：

我试图在QueryString输入中添加有效性检查，但我的努力没有奏效。结果掩盖了%00我检查正确值的尝试。以下是一些相关的代码片段：

正确的菜单值是：

• 完全失踪（即Menu=不在QueryString）
• Select Case上述逻辑中勾画的一系列有效值的一部分

在我的开发机器上，我可以更改%00为%0并用Response.Write消息标记错误 then Response.End，但是关于它的某些内容%00超出了我的检查尝试。

我被要求在 syslog 服务器上远程发送来自 Nessus 扫描仪的日志，但我找不到将其绑定到 syslog 的方法。

有没有办法做到这一点？

我们有一个在 Windows 10 上运行的 Nessus 服务器。我正在尝试从 linux 运行 curl 命令。在几周前升级 Nessus 服务器之前，这些命令一直运行良好。

此示例命令在 Ubuntu 14.04 和 CentOS 7.2 上运行良好，但在 RHEL 7.1 上运行良好。如果是证书问题，它也应该发生在 ubuntu 和 CentOS 上。所有操作系统都是同一vcenter上的vm。只有 Nessus 在物理机上运行。任何提示都会非常有帮助。谢谢！！

得到上述错误的命令

我也尝试在 RHEL 上禁用防火墙和 selinux。没用。

我有一个使用 Net::Nessus::REST 模块的 perl 脚本。目前我正在使用：

这段代码用于创建会话令牌。只要我的扫描在 30 分钟内完成，这将非常有效。30 分钟后会话令牌过期，我收到此错误消息。

服务器错误：nessus.pl 第 68 行的凭据无效

除非有人知道将超时设置为 86400 秒之类的方法，否则我想使用我生成的 API 访问/密钥。我唯一的问题是我找不到如何使用 Net::Nessus::REST 模块通过一些 perl 脚本列出此内容的示例。有人可以帮助我使用我可以为上面的 create_session 示例交换的代码的位 API 密钥吗？

谢谢，

我正在解析一些 Nessus 扫描，并尝试将插件 21643 的输出拆分为 3 个不同的数组，即 highSecArray、mediumSecArray 和 lowSecArray，具体取决于它们的密码强度。我逐行进行，并一直在设置标志以将值放入正确的数组中。输入样本是；

我将其修剪为仅包含以下内容的数组，该数组保存在数组中（每个数组元素一行）

我的问题是将不同的优势分成不同的阵列。我有以下代码可以做到这一点，它应该可以工作，但不能。它用每一行填充所有 3 个数组，忽略 if 声明标志必须设置为 true。如果设置正确，我正在输出带有行的实际标志值。

我一直用来调试的控制台输出如下，它在顶部有输入，然后是每行的布尔运算符的当前状态（以及行本身），最后是每个数组的内容。中型阵列应该只有 2 行，高应该有 8 行，低应该是空的，但所有 3 行都在其中。

我无法弄清楚为什么所有数组都获得了每个值，非常感谢任何帮助！提前致谢

我正在尝试编写一个脚本来让我访问 localhost 中 nessus 的高级扫描选项。所以我想通过没有GUI的shell脚本进行提前扫描操作。我希望所有操作，如登录、提前扫描和导出报告都通过 shell 脚本执行，无需 GUI 访问。

我目前的任务是为 Nessus 做自动化。

虽然几乎一切正常，但我对使用这个调用（来自 API-DOCU）很感兴趣：

我已经用 CURL 测试了调用，效果很好：

...这会返回预期的结果：

现在到问题的核心：在 Java 中做同样的事情！

我得到的是：

我的 postRequest 方法看起来像这样（它适用于其他调用！）：

...现在我怀疑输出postData: alt_targets=%27127.0.0.1%27&scan_id=21无效。虽然我不知道（并且互联网提供的信息非常少）关于 POST 请求上下文中的“数组”是什么 - 以及它是如何编码到 POST 中的。在 CURL 中它可以完美运行 - 在 Java 中它不会，尽管该方法对于其他 API 调用是可以的（创建会话并检索令牌使用相同的方法）。

这里是代码的调用部分：

正如您在上面看到的，API-Docu 也没有多大帮助。

问题：

• 如何在 POST 请求中正确提交“数组”值？
• 我如何查看/调试/检查实际发送的内容/POST 的外观？
• 如何修复我的脚本？

谢谢！