AppScan使用
来源:互联网 发布:淘宝的苹果手机靠谱吗 编辑:程序博客网 时间:2024/06/05 22:47
这里主要分享如何使用AppScan对一大项目的部分功能进行安全扫描。
------------------------------------------------------------------------
其实,对于安全方面的测试知道的甚少。因为那公司每个月要求对产品进行安全扫描。掌握了一人点使用技巧,所以拿来与大家分享。
因为产品比较大,功能模块也非常之多,我们不可能对整个产品进行扫描。再一个每个测试员负责测试的模块不同。我们只需要对自己负责测试的模块扫描即可。
扫描工具自然是IBM AppScan ,功能强大,使用简单。略懂安全测试的都使用或听说过这个工具。这里就不过多介绍了。
抽取被扫描功能的链接
首先要抽取扫描的链接。fiddler工具来抽取。打开系统,找到你需要做扫描的功能模块,开启fiddler拦截功能,然后对你所要测试的功能做各种操作,fiddler就会记录的所有访问的链接,因为涉及到隐私,所以下图会比较模糊。
其实,请求中有非常多的链接,但许多是一样,我们只要把不一样的全找出来就可以了。这里你需要知道每个连接的情况。也有一些外部链接是不需要抽取的。
aaa.bbb.cng2.aaa.bbb.cng1.aaa.bbb.cnwebapp.aaa.bbb.cnuec.aaa.bbb.cnaddrapi.aaa.bbb.cnsmsrebuild1.aaa.bbb.cndisk2.aaa.bbb.cnmw.aaa.bbb.cnscriptlog.aaa.bbb.cnimages.139cm.comappmail.aaa.bbb.cngfile5-disk.aaa.bbb.cngfile8-disk.aaa.bbb.cngfile7-disk.aaa.bbb.cn
把所有链接抽取出来之后就没几个了。去掉重复的就没多少了。
完成配置向导
下面打开appscan创建扫描。(关于appascan的下载安装与破解、介绍,我在另一篇博文已讲)
选择常规扫描,进入配置向导。点击下一步,进入配置
上面这一步是重点,起始URL填写你要扫描的网址。其它服务器和域:这里把抽取的所有链接都添加进去。包括后网站的首页链接。点击下一步。
这里提供三种方式来记录帐号,不多介绍。第一种和第三种最常用。
然后点击几个下一步后出现后面的选项,选择第三个或第四项完成扫描的配置。
录制扫描脚本
完成配置后,下面就要开始录制脚本了呢。
点击工具栏上的探索按钮,appscan会打开自带浏览器,输入系统用户名密码登录系统,对你要扫描的模块功能进行操作。
上图为我打开的appscan自带浏览器(因为我输入的网址有误,所以无法访问)。操作完成之后,点击暂停按钮,关闭浏览器窗口即可。
关闭浏览器后,上面的窗口中会记录所有你访问的连接,点击确定。所有的信息就会记录下来了,下面要做的点击点击工具栏上的扫描按钮开始扫描。我们一般晚上下班进行,第二天早上来看扫描结果就可以了。
------------------------------------
本来到这里就可以结束了,我再多说个设置。呵呵!在手动探索的时候,因为打开的浏览器是appscan自带的,可能会存在兼容性问题,有些页面无法正常打开。那么是否可以用我们电脑上的浏览器(IE 、火狐、谷歌)来进行录制呢了。当然是可以的。
菜单栏--工具---选项----高级
这个一定要大图,我们只需要修改openExternalBrowser 选项“值”的参数就可以了(1=IE、2=firefox、3=chrome)。
-----------------
安全测试挺有前途的,国内起步很晚,这两年才逐渐受到重视。公司也越来越重视安全。
- AppScan使用
- AppScan使用
- AppScan使用分享
- AppScan的使用记录
- IBM AppScan使用随想
- AppScan使用分享
- Appscan使用外部浏览器
- 使用AppScan进行扫描
- AppScan
- AppScan
- AppScan
- appscan
- appscan
- 使用Rational AppScan应对Web应用攻击
- 如何使用AppScan扫描大型网站
- IBM Rational AppScan使用详细说明
- 使用 Rational AppScan 检测 Web 服务安全漏洞
- AppScan在项目中的使用流程
- Category支持添加属性与成员变量
- spark-streaming连接flume时报错org.jboss.netty.channel.ChannelException: Failed to bind to: /IP:PORT
- HTML5纯div饼图
- Openjudge2984 十六进制转十进制(模拟)
- iOS应用程序生命周期(前后台切换,应用的各种状态)详解
- AppScan使用
- 【Lua】【3】Lua之使用表
- poj 2549 3SUM直接枚举
- POJ--1321棋盘问题
- 随笔(2015.7)
- 制作网页雪花飘飘效果
- 算法——常用排序算法介绍
- EmguCV的配置和获取摄像头画面
- Android camera预览参数以及实际图像大小设置