一． 概念

AppScan是什么：

AppScan是IBM的一款web安全掃描工具，可以利用爬蟲技術(shù)進(jìn)行網(wǎng)站安全滲透測試，根據(jù)網(wǎng)站入口自動對網(wǎng)頁鏈接進(jìn)行安全掃描，掃描之后會提供掃描報告和修復(fù)建議等。AppScan有自己的用例庫，版本越新用例庫越全（用例庫越全面，對漏洞的檢測較全面，被測試系統(tǒng)的安全性則越高）

Appscan工作原理：

（掃描規(guī)則庫 + 爬行 + 測試）

1）通過探索了解整個web頁面結(jié)果

2）通過分析，使用掃描規(guī)則庫對修改的HTTP Request進(jìn)行攻擊嘗試

3）分析 Response 來驗證是否存在安全漏洞

二．APPScan使用步驟

1.掃描模板的選擇：

2. 進(jìn)入配置向?qū)?，選擇“自動或手動”

3.輸入起始URL，也可掃描其他的域名（輸入項目入口地址以外的其他域名）。

4.登錄管理-設(shè)置登錄方法：

記錄： 點擊“記錄”按鈕，進(jìn)行錄制登錄操作。

提示：掃描過程中輸入用戶名密碼

自動：輸入用戶名和密碼，掃描時會自動根據(jù)這個憑證登錄應(yīng)用程序。

無 ： 不登錄

5.選擇測試策略：

測試策略說明：

①缺省值：包含多有測試，但不包含侵入式和端口偵聽器

②僅應(yīng)用程序：包含所有應(yīng)用程序級別的測試，但不包含侵入式和端口偵聽器

③僅基礎(chǔ)結(jié)構(gòu)：包含所有基礎(chǔ)結(jié)構(gòu)級別的測試，但不包含侵入式和端口偵聽器

④侵入式：包含所有侵入式測試（可能影響服務(wù)器穩(wěn)定性的測試）

⑤完成：包含所有的AppScan測試

⑥關(guān)鍵的少數(shù)：包含一些成功可能性較高的測試精選，在時間有限時對站點評估可能有用

⑦開發(fā)者精要：包含一些成功可能性極高的應(yīng)用程序測試的精選，在時間有限時對站點評估可能有用

⑧Web Service：包含所有SOAP相關(guān)測試

6.勾選啟動方式：

1)啟動全面自動掃描：會自動探索URL，而且邊探索邊掃描頁面。

2)僅使用自動“探索”啟動：自動探索URL，不做掃描。

3)使用“手動探索”： 手動去訪問頁面，AppScan會自動記錄你訪問頁面的url

4)我將稍后啟動掃描：AppScan不做任何操作，需要自己手動去啟動掃描。

7.進(jìn)行掃描：

appscan掃描分類：

完全掃描、僅探索、僅測試。

1）完全掃描：探索+測試一起（適用于需要掃描的頁面和元素較少的情況）

2）先探索、后測試：掃描的頁面和元素較多的情況

3）探索：掃描出整個系統(tǒng)的基本結(jié)構(gòu)和頁面

4）測試：根據(jù)配置的信息，比如測試策略等對頁面中的元素進(jìn)行測試

然后選擇“繼續(xù)僅測試”，只對前面探索過的頁面進(jìn)行測試，不對新發(fā)現(xiàn)的頁面進(jìn)行測試?！巴耆珳y試”就是把兩個步驟結(jié)合在一起，一邊探索，一邊測試。

8.報告的生成

9.查看掃描結(jié)果