图解安全扫描工具 AppScan使用

 

IBM Rational AppScan 是一个面向 Web 应用安全检测的自动化工具，使用它可以自动化检测 Web 应用的安全漏洞。

比如跨站点脚本攻击（Cross Site Scripting Flaws）、注入式攻击（Injection Flaws）、失效的访问控制（Broken Access Control）、缓存溢出问题（Buffer Overflows）等等。

这些安全漏洞大多包括在 OWASP（Open Web Application Security Project，开放式 Web 应用程序安全项目）所公布的 Web 应用安全漏洞中。

 
 

1/8

打开AppScan软件，点击工具栏上的 文件–> 新建，点击 “Regular Scan”，出现扫描配置向导页面，这里是选择“Web应用程序扫描，如下图所示：

 

 
 

2/8

点击”下一步“，出现URL和服务器的配置页面，如图，输入需要测试的URL

特别说明：

在“起始URL”下面输入需要启动扫描的URL，如果勾选了“仅扫描此目录中或目录下的链接”（如下图），则会只扫描起始URL目录或者子目录中的链接。

举例：如果我们的网站www.sina.com.cn下面有两个目录test1和test2，当起始URL中输入"http://www.sina.com.cn/test1/"并勾选“仅扫描此目录中或目录下的链接”的时候，appscan不会扫描“www.sina.com.cn/test2”目录下的所有链接。

另外，如果被扫描对象的主机是unix或者linux，建议勾选下面的“将所有路径作为区分大小写来处理（Unix、Linux等）(T)”选项（如下图），因为unix或者linux是对大小写敏感的；如果被扫描对象的主机是windows主机，则没有必要勾选此项。

如果扫描的时候需要顺便扫描其它的服务器或者域，则需要在底下的“其它服务器和域”中添加对应的路径，如下图所示：

 
 

 
 

3/8

点击”下一步“，出现登录管理的页面，这是因为对于大部分网站，需要用户名和密码登录进去才可以查看许多内容，未登录的情况下就只可以访问部分页面。

最常用的登录方法有两种：记录和自动，如下图所示：

 

 
 

4/8

点击”下一步“，出现测试策略的页面，可以根据不同的测试需求进行选择，这里选择的是”完成（Complete）“，即进行全面的测试

如果需要在登录注销页面上进行攻击测试，则需要勾选“发送登录和注销页面上的测试”两个勾选框（如下图），然后点击下一步，如下图所示：

 

 
 

5/8

点击”下一步“，出现完成配置向导的界面，这里使用默认配置，可根据需求更改，如下图所示：

 

 
 

6/8

点击”完成“，设置保存路径，即开始扫描，如下图所示：

 

 
 

7/8

待扫描专家分析完毕，点击”扫描 –> 继续完全扫描“即可，如下图所示：

 

 
 

8/8

等待测试完毕，即可分析结果，如下图所示：

 

 
 
 
 https://jingyan.baidu.com/album/fa4125ac02e5dd28ad70925d.html
 

最新文章

  1. Oracle REGEXP_SUBSTR（）
  2. Mutex
  3. 在Android中引入Java8的lambda表达式
  4. 十五天精通WCF——终结篇 那些你需要注意的坑
  5. Linux下解决用户不能执行sudo的方法
  6. CUDA编程
  7. rac ASM下最简单归档开启方法
  8. P1026 犁田机器人
  9. hdu 4662
  10. 设计模式（四）：SIMPLE FACTORY简单工厂模式 -- 创建型模式
  11. mysql学习笔记--第1天
  12. Windows注册表的基本知识及应用
  13. +function ($) { "use strict";}(window.jQuery);全面分析
  14. NSOperation 代码，阐述NSOperation一般功能和重要功能
  15. 《LINQ技术详解C#》-5.非延迟操作符
  16. 尚硅谷面试第一季-12Linux常用服务类相关命令
  17. 原生和web交互jsbridge交互总结
  18. HTTP协议-缓存
  19. 4163 hzwer与逆序对 （codevs + 权值线段树 + 求逆序对）
  20. [Wc2007]剪刀石头布[补集转化+拆边]

热门文章

  1. Subresource Integrity(子资源一致性)和JS DDos 攻击
  2. 通过HTTP请求WEBAPI的方式
  3. HDU - 1019 - Least Common Multiple - 质因数分解
  4. lightoj 1074【spfa判负环】
  5. Linux安装Loadrunner generator
  6. element-ui + el-dialog + Vue.component 注册的富文本控件 第二次及以后打开dialog出现问题解决方法
  7. scrapy框架中Item Pipeline用法
  8. aix 推荐使用重启
  9. 085 Maximal Rectangle 最大矩形
  10. 语义分割丨DeepLab系列总结「v1、v2、v3、v3+」