appscan工具簡述

1、1. appscan是一個web應用安全測試工具。2. web攻擊的類型比如：l 跨站腳本攻擊：為了搜集用戶信息，攻擊者通常會在有漏洞的程序中插入 JavaScript、VBScript、 ActiveX或Flash以欺騙用戶，達到盜取用戶帳戶，修改用戶設置，盜取/污染cookie，做虛假廣告等目的。如注入一個JavaScript彈出式的警告框：alert(1)l 消息泄露：web應用程序在處理用戶錯誤請求時，程序在拋出異常的時候給出了比較詳細的內(nèi)部錯誤信息，而暴露了不應該顯示的執(zhí)行細節(jié)，如文件路徑、數(shù)據(jù)庫信息、中間件信息、ip地址等l SQL注入：將SQL命令人為地輸入到URL、表格域、或者

2、其他動態(tài)生成的SQL查詢語句的輸入中，完成SQL攻擊。以達到繞過認證、添加、刪除、修改數(shù)據(jù)等目的。如sql查詢代碼為：strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');" 改

3、為：strSQL = "SELECT * FROM users WHERE (name = '1' OR '1'='1') and (pw = '1' OR '1'='1');" 達到無賬號密碼，亦可登錄網(wǎng)站。3. appscan使用步驟：總的來說，就是指定要掃描的URL選擇測試策略執(zhí)行掃描探索執(zhí)行測試結果分析。

4、1) 選擇測試策略，文件新建選擇一個模板“常規(guī)掃描”2) 出現(xiàn)掃描配置向導頁面，這里是選擇“AppScan(自動或手動)“，如圖：3) 輸入掃描項目目標URL，如果只想掃描指定URL目錄下鏈接的話把“僅掃描此目錄中或目錄下的鏈接”勾選上。4) 點擊”下一步“，選擇認證模式，出現(xiàn)登錄管理的頁面，這是因為對于大部分網(wǎng)站，需要用戶名和密碼登錄進去才可以查看許多內(nèi)容，未登錄的情況下就只可以訪問部分頁面。這里我選擇的第一個，需要點擊右邊的記錄進入瀏覽器手動登錄，讓它記錄下這個登錄信息。5) 點擊”下一步“，出現(xiàn)測試策略的頁面，可以根據(jù)不同的測試需求進行選擇，這里的測試策略，先選一個缺省值練練，侵入式慎選。因為侵入式用例里可能有嘗試關閉數(shù)據(jù)庫的用例，如果執(zhí)行通過搞不好會導致系統(tǒng)就癱瘓！缺省值具體是包括哪些，可點擊配置查看如下圖6) 點擊”下一步“，出現(xiàn)完成配置向導的界面，這里使用默認配置，可根據(jù)需求更改，如下圖：7) 點擊”完成“，設置保存路徑，即開始掃描，可以讓自動掃描，也可以手動探索。8) 打掃完以后就執(zhí)行測試，選擇掃描僅測試9) 測試完成后，查看測試結果，列表出了不同級別的問題，還有修訂建議等另外：這里測試web默認選擇第一個，如果選擇“外部設備/客戶機的話，可以把appscan當