草庐IT

初识AppScan

我就要喝现磨咖啡 2023-12-16 原文

1、AppScan是什么?

AppScan是IBM的一款web安全扫描工具,可以利用爬虫技术进行网站安全渗透测试,根据网站入口自动对网页链接进行安全扫描,扫描之后会提供扫描报告和修复建议等。

AppScan有自己的用例库,版本越新用例库越全(用例库越全面,对漏洞的检测较全面,被测试系统的安全性则越高)

工作原理:

1)通过探索了解整个web页面结果

2)通过分析,使用扫描规则库对修改的HTTP Request进行攻击尝试

3)分析 Response 来验证是否存在安全漏洞

2、AppScan破解并添加许可证

(1)安装文件下载解压后显示AppScanStandard.txt和rcl_rational.dll文件

(2)把文件(AppScanStandard.txt和rcl_rational.dll)复制到AppScan安装地址的文件夹下

(3)添加许可证书:

  • 打开AppScan,点击帮助-许可证;
  • 选择“打开Appscan License Manager...”;
  • 点击“许可证配置-节点锁定许可证文件-+”,选择AppScanStandard.txt作为许可证;
  • 保存,即可完成激活授权。

3、AppScan的使用步骤

(1)启动AppScan扫描工具,点击文件-新建;

(2)测试网站信息,选择“扫描Web应用程序”,在文本框中输入应用程序的 URL,如果成功,那么在“起始 URL”下将显示绿色复选标记和“已连接到服务器”确认。

(3)单击下一步。进入“登录管理”步骤。

    1. 记录:如果选择该选项,那么 AppScan® 将使用所记录的登录过程,从而像实际用户一样填写字段并单击链接。
    2. 自动:如果 AppScan 可仅使用名称和密码来登录,而不需要特定的过程,请选择该选项,然后输入“用户名”和“密码”。如果每次登录都需要人机交互(如双因素认证、一次性密码或 CAPTCHA),请选择“提示”选项。
    3. 提示:在这种情况下,您必须仍然记录登录过程。虽然 AppScan 将不会使用您记录的过程来尝试登录,但是它需要将该过程作为参考来了解何时已被注销。
    4. 无:仅当应用程序不需要登录时,或因为其他原因,您不想 AppScan 登录时,才选择该选项

(4)单击下一步,进入“测试策略”步骤;扫描限制为所需的特定类型的测试可以缩短扫描时间。

扫描期间,AppScan® 发送的测试数量可以达到数千。有时,最好将扫描限制在仅扫描特定类型,以减少扫描时间。这是“测试策略”。

过程:

  1. 检查“测试策略”是否适合您的需要。(如果您不能肯定,请保持“缺省测试策略”。)
  2. 要装入其他“测试策略”,请单击策略文件窗格中其中一个“预定义策略”或“最新策略”。
  3. 将测试发送到登录和注销页面:缺省情况下,AppScan 将测试登录和注销页面以及应用程序的其余部分。您应该保持该缺省配置,除非:
    • 您的应用程序具有安全保护,可阻止在这些页面上提供非法输入的用户,或
    • 如果测试这些页面,您的应用程序流程会改变

如果不确定您的应用程序会如何响应这些测试,那么请保持选定该选项。

(5)单击下一步,进入“测试优化”步骤;通过“测试优化”,可以利用正在进行的统计分析来加快扫描速度。

 

 

(6)单击下一步,进入“完成”步骤;将决定如何以及何时启动已配置的扫描。

(7)单击完成;将决定如何以及何时启动已配置的扫描;

完成中的选项分析:

  • 启动全面自动扫描:启动应用程序的全面扫描(“探索”后将立即进行“测试”)。
  • 使用仅自动“探索”来启动:探索应用程序,但不继续“测试”阶段。(可以稍后运行“测试”阶段)。
  • 使用手动探索来启动:浏览器将打开,并且您可以通过单击链接并填写字段来手动探索站点。AppScan 将记录结果,以便在“测试”阶段使用。
  • 我将稍后启动扫描:关闭向导,不启动扫描。下次启动扫描时,会使用该模板。

有关初识AppScan的更多相关文章

  1. 玩以太坊链上项目的必备技能(初识智能合约语言-Solidity之旅一) - 2

    前面一篇关于智能合约翻译文讲到了,是一种计算机程序,既然是程序,那就可以使用程序语言去编写智能合约了。而若想玩区块链上的项目,大部分区块链项目都是开源的,能看得懂智能合约代码,或找出其中的漏洞,那么,学习Solidity这门高级的智能合约语言是有必要的,当然,这都得在公链``````以太坊上,毕竟国内的联盟链有些是不兼容Solidity。Solidity是一种面向对象的高级语言,用于实现智能合约。智能合约是管理以太坊状态下的账户行为的程序。Solidity是运行在以太坊(Ethereum)虚拟机(EVM)上,其语法受到了c++、python、javascript影响。Solidity是静态类型

  2. 【Linux】初识Linux --指令Ⅰ - 2

    Halo,这里是Ppeua。平时主要更新C语言,C++,数据结构算法,Linux…感兴趣就关注我吧!你定不会失望。目录1.ls显示当前目录下的文件内内容2.pwd-显示用户当前所在的目录3.cd-改变工作目录。将当前工作目录改变到指定的目录下1.cd-回到上一次待的工作空间2.cd..返回上一层目录1.相对路径:cd../aurora2.绝对路径:cd/home/aurora/lesson1/aurora3.cd~进入用户家目录4.cd/进入root目录4.mkdir-新建目录5.rmdir/rm-删除1.rmdir删除空文件夹2.rm删除1.rm-f2.rm-i3.rm-r1.ls显示当前目

  3. gtest初识 - googletest(一) - 2

    gtest是Google开发的一个开源单元测试框架,代码提供丰富的注释和实例,参考实际用例可以很快上手基本单元测试,丰富的代码注释能够让有兴趣的开发者深入了解gtest的代码结构并做部分针对性的二次开发。gtest主要针对c/c++提供了针对函数接口和类方法丰富测试方法,针对单元测试特有的数据或者代码反复编写的这种特性做了集成和优化,满足当前绝大部分对于单元测试的需求。其有如下特点:自动收集测试用例,无需开发者再次组织提供强大的断言集,支持包括布尔、整型、浮点型、字符串等。提供断言方法自定义扩展提供死亡测试功能使用参数化自动生成多个相似的测试用例可以将公共的用例初始化和清理工作放入测试夹具中,

  4. 鸿蒙HarmonyOS开发环境初识及搭建 - 2

    一鸿蒙简介HarmonyOS是一款面向万物互联时代的、全新的分布式操作系统。在传统的单设备系统能力基础上,HarmonyOS提出了基于同一套系统能力、适配多种终端形态的分布式理念,能够支持手机、平板、智能穿戴、智慧屏、车机等多种终端设备,提供全场景(移动办公、运动健康、社交通信、媒体娱乐等)业务能力。HarmonyOS提供了支持多种开发语言的API,供开发者进行应用开发。支持的开发语言包括Java、XML(ExtensibleMarkupLanguage)、C/C++、JS(JavaScript)、CSS(CascadingStyleSheets)和HML(HarmonyOSMarkupLan

  5. 初识测开/测试- 第一篇 - 测开/测试方向 - 2

    前言在进入软件测试的正式讲解之前,我们需要对这个行业有一个整体的了解。当我们从软件开发转向软件测试的时候,多数公司是欢迎的,而且难度也小。反之,当我们从软件测试转向软件开发的时候,难度将会变得很大。关于互联网的工作大概有以下三种:1、软件开发:进行软件系统的开发,功能实现的工作2、软件测试验证软件功能性的正确性。具体的验证方式分为以下几种:1、手工验证2、自动化验证3、软件测试与开发开发测试工具,开发测试脚本,其目的就是为了提高测试效率。看到开发这两个字,说明是会涉及到编程的。但是难度会比软件开发低一些,没有数据结构中的编程那么难。测试开发这里的编程,都是有着指定规则来编写代码。换句话来说,它

  6. BACnet协议详解——初识BACnet架构 - 2

    文章目录BACnet协议架构BACnet简化的架构简化的四层BACnet体系结构选取BACnet网络的拓扑结构安全最后声明BACnet协议架构国际标准化组织在制定计算机网络通讯协议标准时定义了一个模型,称为开放系统互联参考模型(OSI(ISO7498)。模型的目的是解决计算机与计算机之间普遍的通信问题。下图给出了这七层的体系架构图。对于这种发生在两个应用程序之间的通信,看起来两个程序似乎是通过各自的应用接口直接相连。而真正的通信只发生在物理层。实现OSI模型协议所需的费用较高,在绝大部分楼宇自动控制系统中,并不需要实现OSI模型的所有内容。如果只选择OSI模型中需要的层次,形成一个简化的模型,

  7. webpack--》webpack底层深入讲解,从初识到精通,真正实现从0到1的过程 - 2

    目录webpackwebpack的基本使用安装配置修改自定义打包的入口与出口优化js或图片的存放路径配置webpack中@符号的使用webpack中相关插件安装webpack-dev-serverhtml-webpack-pluginclean-webpack-pluginwebpack中的loader打包处理css文件打包处理less文件打包处理样式表中与url路径相关的文件打包处理js文件中的高级语法webpack的打包与发布配置build命令SourceMapwebpackwebpack是前端项目工程化的具体解决方案。其主要功能为:它提供了友好的前端模块化开发支持,以及代码压缩混淆,处理

  8. 【微信小程序】初识微信小程序 - 2

    作者简介:一名C站萌新,前来进行小程序的前进之路博主主页:大熊李子的主页🐻1.1什么是微信小程序微信小程序是一种可以通过扫码或搜索即可进入使用的应用,减少了下载安装的环节,实现用户对于应用“触手可及、用完即走”的理想需求。在微信公众平台,小程序是与服务号、订阅号、企业微信并行的体系点开微信“发现-小程序”栏,你就能看到近期使用过的小程序;或者下拉微信聊天页面,你也能看到自己用过的小程序。如果你没有用过任何小程序,那么可以扫码进入小程序页面,或者点击好友分享的小程序卡片进入小程序。1.2小程序与普通网页开发的区别1.运行环境不同网页运行在浏览器环境中小程序运行在微信环境中2.API不同由于运行环

  9. 头歌MySQL数据库 - 初识MySQL 答案 - 2

    第1关:创建数据库在右侧命令行中连接MySQL,并创建一个名为MyDb的数据库。连接数据库的用户名为:root,密码为:123123。mysql-uroot-p123123-h127.0.0.1createdatabaseMyDb第2关:创建表在右侧命令行中操作,创建数据库TestDb,在TestDb下创建表t_emp,表结构如下:字段名称数据类型备注idINT员工编号nameVARCHAR(32)员工名称deptIdINT所在部门标号salaryFLOAT工资mysql-uroot-p123123-h127.0.0.1useTestDbcreatetablet_emp(  idint,  n

  10. AppScan使用教程 - 2

    一、安装IBMAppScan该产品是一个领先的Web应用安全测试工具,曾以WatchfireAppScan的名称享誉业界。RationalAppScan可自动化Web应用的安全漏洞评估工作,能扫描和检测所有常见的Web应用安全漏洞,例如SQL注入(SQL-injection)、跨站点脚本攻击(cross-sitescripting)、缓冲区溢出(bufferoverflow)及最新的Flash/Flex应用及Web2.0应用曝露等方面安全漏洞的扫描。参考文章:【安全测试】AppScan:下载与安装_顾三殇的博客-CSDN博客_appscan下载二、使用登录管理:主要用于配置一些网站需要进行登录

随机推荐