安全测试工具Nessus安装和使用

1. 安装

下载地址：https://pan.baidu.com/s/1OaYMDdQqYI4BbZ_uUErrTw 提取码: yg2g 

安装Nessus-8.14.0-x64.msi，按照提示next至安装完成，显示如下页面，点击Connect via SSL

点击“高级”、“继续访问”

选择 【Managed Scanner】选项，点击【Continue】

选择【Tenable.sc】

设置账号密码，账号admin，密码abcd1234

等待配置插件，需要运行一段时间。

安装完成，当前没有激活，不能进行扫描。

使用管理员身份打开cmd，cd进入nessus安装目录，输入以下命令记录Challenge code（后面会用到）：nessuscli.exe fetch --challenge。

在Nessus官网（https://zh-cn.tenable.com/products/nessus/nessus-essentials）注册以获取Activation Code 值。其中First name和Last name随便填，Businesse Email填写真实可用的邮箱（如果担心安全，可以百度“临时邮箱”），填写完成后勾选上，点击Get Started。注册成功后，邮箱会收到一份邮件，邮件内容有Activation Code 值。（这里说明了，这个是一次性的激活码，如果卸载后重装需要重新注册接受激活码。）

打开浏览器，输入https://plugins.nessus.org/v2/offline.php。分别输入第一步收集的Challenge code和第二步收集的activation code，输入完成后点击submit。

出现的新界面，第一个是【all-2.0.tar.gz】文件，先点击慢慢下载有点小大：

插件后面就是关于激活许可证了，下拉到页面底部下载nessus.license

将nessus.license放置到C:\Program Files\Tenable\Nessus文件夹下，使用命令激活，nessuscli.exe fetch --register-offline nessus.license

加载插件，下载好【all-2.0.tar.gz】后，复制到安装目录C:\Program Files\Tenable\Nessus文件夹下，安装之前管理员的身份运行CMD，停止Nessus服务

更新nessus插件，需要运行一段时间。

nessuscli.exe update all-2.0.tar.gz ,安装完成后，记录版本号：202402261439，这个后面要用到！

1.在任意地方创建文件plugin_feed_info.inc，输入以下内容，其中PLUGIN_SET值为上面的版本号。

2.将plugin_feed_info.inc 分别复制到以下目录：

C:\ProgramData\Tenable\Nessus\nessus

C:\ProgramData\Tenable\Nessus\nessus\plugins

3.进行加锁解锁操作

• plugins目录下的全部加锁，将运行需要一段时间

attrib +s +r +h "C:\ProgramData\Tenable\Nessus\nessus\plugins\*.*"

• 将plugins文件夹下plugin_feed_info.inc文件解锁：

attrib -s -r -h "C:\ProgramData\Tenable\Nessus\nessus\plugins\plugin_feed_info.inc"

• 返回上层目录，将Nessus\nessus下的plugin_feed_info.inc文件进行加锁

attrib +s +r +h "C:\ProgramData\Tenable\Nessus\nessus\plugin_feed_info.inc"

4.再启动Nessus服务

访问 https://localhost:8834/，显示初始化中

加载完后进入，登录页面，输入账号：admin ，密码：abcd1234，点击Sign In登录

进入首页-Settings页面，Licensed Hosts为Unlimited，表示激活成功。否则需要把目前的插件文件夹删除，然后重新到安装插件那个步骤去，再来一遍。

2.使用

在登录页面输入账号：admin ，密码：abcd1234，点击Sign In登录。

在【My Scan】页面，点击【New Scan】新建扫描。

选择扫描扫描模板，如果要扫描的是一个网站，选择Web Application Tests；如果是要扫描一个主机的话，选择Advanced Scan。

然后进入了下面的页面，Name就是这次扫描的名字，随便写，但是最好不要写中文。Description就是对这次扫描的描述，也可以随便写，Targets就写目标网站的 ip地址或者域名都可以，然后点击Save保存。

然后回到了My Scans页面，点击开始按钮就开始扫描了。

点击名称，可以查看扫描情况。漏洞分为5种程度，最高级别Critical最低级别info。扫描完成后，勾选要生成报告的Host，点击【Report】下拉选择【HTML】。

在Generate HTML Report窗口，【Report】选择Customer，点击【Generate Report】按钮即可生成报告。