APPSCAN测试策略

使用Appscan保障Web应用安全性编写：梁建增Appscan简介IBM Rational AppScan Standard Edition 是一种自动化Web 应用程序安全性测试引擎，能够连续、自动地审查Web 应用程序、测试安全性问题，并生成包含修订建议的行动报告，简化补救过程。

IBM Rational AppScan Standard Edition 提供：核心漏洞支持：包含W ASC 隐患分类中已识别的漏洞——如SQL 注入、跨站点脚本攻击和缓冲区溢出。

广泛的应用程序覆盖：包含集成Web 服务扫描和JavaScript 执行（包括Ajax）与解析。

自定义和可扩展功能：AppScan eXtension Framework 运行用户社区共享和构建开源插件。

高级补救建议：展示全面的任务清单，用于修订扫描过程中揭示的问题。

面向渗透测试人员的自动化功能：高级测试实用工具和Pyscan 框架作为手动测试的补充，提供更强大的力量和更高的效率。

法规遵从性报告：40 种开箱即用的遵从性报告，包括PCI Data Security Standard、ISO 17799 和ISO 27001 以及Basel II。

1.信息系统安全性概述在进行软件安全性检测之前，首先我们应该具备一定的信息系统安全性的知识，在我们对整体范围的信息系统安全性保障有一定认识的前提下，才能决定我们能更好的保障该环境下的软件应用安全性。

计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

从而我们可以得知计算机信息系统的安全性是一个相当复杂且广的课题，通常情况下，计算机信息系统都是以应用性为主题，以实现不同用户群的相应需求实现。

而应用性的实现通常是采用应用软件而达成。

典型的计算机信息系统，包括了机房环境，主机设备，网络交换设备，传输通信媒介，软件系统以及其他相关硬软件，而由于当前信息系统网络的连通性，给安全性问题带来了更大的挑战。

AppScan操作手册
CCII/TI-06
AppScan版本：9.0
编制人：王雷
审核人：张莹
发布时间：2018年3月11日
一、打开AppScan软件，点击工具栏上的文件–> 新建，出现一个dialog，如图所示：
这里写图片描述
二、点击“Regular Scan”，出现扫描配置向导页面，这里是选择“Web应用程序扫描“，如图：
这里写图片描述
三、点击”下一步“，出现URL和服务器的配置页面，如图，输入需要测试的URL。

这里写图片描述
四、点击”下一步“，出现登录管理的页面，这是因为对于大部分网站，需要用户名和密码登录进去才可以查看许多内容，未登录的情况下就只可以访问部分页面。

这里写图片描述
这里选择使用的登录方法是自动，即需要输入用户名和密码。

如果选择的是记录，则需要对登录过程进行录入，在录入的过程中，appscan可以记住一些url，方便进行扫描。

五、点击”下一步“，出现测试策略的页面，可以根据不同的测试需求进行选择，这里选择的是”完成（Complete）“，即进行全面的测试，
这里写图片描述
六、点击”下一步“，出现完成配置向导的界面，这里使用默认配置，可根据需求更改，如下图：
这里写图片描述
七、点击”完成“，设置保存路径，即开始扫描，如下图：
这里写图片描述
八、待扫描专家分析完毕，点击”扫描–> 继续完全扫描“即可。

这里写图片描述
九、等待测试完毕，即可分析结果。

AppScan 学习参考内容/ceshi/ceshijishu/rjcsgj/rational/appscan/Rational AppScan 是专门面向Web 应用安全检测的自动化工具，是对Web 应用和Web Services 进行自动化安全扫描的黑盒工具。

它不但可以简化企业发现和修复Web 应用安全隐患的过程（这些工作以往都是由人工进行，成本相对较高，效率低下），还可以根据发现的安全隐患，提出针对性的修复建议，并能形成多种符合法规、行业标准的报告，方便相关人员全面了解企业应用的安全状况。

利用Rational AppScan，应用程序开发团队在项目交付前，可以对所开发的应用程序与服务进行安全缺陷的扫描，自动化检测Web 应用的安全漏洞，从网站开发的起始阶段就扫除Web 应用安全漏洞。

Rational AppScan 工作原理Rational AppScan(简称AppScan)其实是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的AppScan source edition【从代码开始使用复合技术保证Web 应用安全】，到针对Web 应用进行快速扫描的AppScan standard edition【桌面解决方案扫描和测试漏洞和安全缺陷】，以及进行安全管理和汇总整合的AppScan enterprise Edition【将先进的应用程序安全测试与整个应用程序生命周期中的治理、协作和安全性智能相结合。

它使企业能够降低应用程序风险，控制应用程序项目成本】等。

我们经常说的AppScan 就是指的桌面版本的AppScan，即AppScan standard edition。

其安装在Windows 操作系统上，可以对网站等Web 应用进行自动化的应用安全扫描和测试。

来张AppScan 的截图，用图表说话，更明确。

▲图1. AppScan 标准版界面请注意右上角，单击“扫描”下面的小三角，可以出现如下的三个选型“继续完全扫描”、“继续仅探索”、“继续仅测试”，有木有?什么意思?理解了这个地方，就理解了AppScan 的工作原理，我们慢慢展开：还没有正式开始安全测试之前，所以先不管“继续”，直接来讨论“完全扫描”，“仅探索”，“仅测试”三个名词：AppScan 三个核心要素AppScan 是对网站等Web 应用进行安全攻击来检查网站是否存在安全漏洞;既然是攻击，需要有明确的攻击对象吧，比如现在的对象就是卡扎菲上校还有他的军队。

转载]如何更有效使用Rational AppScan 扫描大型网站Rational AppScan（简称AppScan）其实是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的AppScan source edition，到针对Web 应用进行快速扫描的AppScan standard edition，以及进行安全管理和汇总整合的AppScan enterprise Edition 等。

我们经常说的AppScan 就是指的桌面版本的AppScan，即AppScan standard edition。

其安装在Windows 操作系统上，可以对网站等Web 应用进行自动化的应用安全扫描和测试。

来张AppScan 的截图，用图表说话，更明确。

图 1. AppScan 标准版界面请注意右上角，单击“扫描”下面的小三角，可以出现如下的三个选型“继续完全扫描”、“继续仅探索”、“继续仅测试”，有木有？什么意思？理解了这个地方，就理解了AppScan 的工作原理，我们慢慢展开：还没有正式开始安全测试之前，所以先不管“继续”，直接来讨论“完全扫描”，“仅探索”，“仅测试”三个名词：AppScan 三个核心要素AppScan 是对网站等Web 应用进行安全攻击来检查网站是否存在安全漏洞；既然是攻击，需要有明确的攻击对象吧，比如北约现在的对象就是卡扎菲上校还有他的军队。

对网站来说，一个网站存在的页面，可能成千上万。

每个页面也都可能存在多个字段（参数），比如一个登陆界面，至少要输入用户名和密码吧，这就是一个页面存在两个字段，你提交了用户名密码等登陆信息，网站总要有地方接受并且检查是否正确吧，这就可能存在一个新的检查页面。

这里的每个页面的每个参数都可能存在安全漏洞，所有都是被攻击对象，都需要来检查。

这就存在一个问题，我们来负责来检查一个网站的安全性，这个网站有多少个页面，有多少个参数，页面之间如何跳转，我们可能并不明确，如何知道这些信息？看起来很复杂，盘根错节；那就更需要找到那个线索，提纲挈领；想一想，访问一个网站的时候，我们需要知道的最重要的信息是哪个？网站主页地址吧？从网站地址开始，很多其他频道，其他页面都可以链接过去，对不对，那么可不可以有种技术，告诉了它网站的入口地址，然后它“顺藤摸瓜”，找出其他的网页和页面参数？OK，这就是“爬虫”技术，具体说，是“网站爬虫”，其利用了网页的请求都是用http 协议发送的，发送和返回的内容都是统一的语言HTML，那么对HTML 语言进行分析，找到里面的参数和链接，纪录并继续发送之，最终，找到了这个网站的众多的页面和目录。

IBM Security AppScａn系列介绍IBMＳecurｉｔy ＡppSｃａn系列介绍ﻩ1IBＭSｅcｕrity ＡppｓｃaｎStaｎｄard V8、8介绍ﻩ1简介 (1)一、安装ﻩ1二、破解ﻩ２三、使用 (2)扫描方式一:ﻩ2附:扫描方式二ﻩ７生成报告ﻩ10IBM Sｅcurｉty AｐpＳcan Sｏurｃe Ｖ8、７介绍ﻩ1３13简介ﻩ一、安装ﻩ1314二、破解ﻩ三、使用 (16)IBM Ｓecｕrity Ａppscan StandａrｄV8、8介绍简介ＩBM SecｕriｔｙＡppＳcaｎ就是专门面向Weｂ应用安全检测得自动化工具,就是对Weｂ应用与Wｅb Ｓｅrｖices 进行自动化安全扫描得黑盒工具。

它不但可以简化企业发现与修复Web 应用安全隐患得过程(这些工作以往都就是由人工进行,成本相对较高,效率低下),还可以根据发现得安全隐患,提出针对性得修复建议,并能形成多种符合法规、行业标准得报告,方便相关人员全面了解企业应用得安全状况。

利用IBM SecurityＡppScan,应用程序开发团队在项目交付前,可以对所开发得应用程序与服务进行安全缺陷得扫描,自动化检测Wｅb 应用得安全漏洞，从网站开发得起始阶段就扫除Wｅｂ应用安全漏洞。

一、安装1、安装ＩＢM Sｅｃｕrity AppScaｎStａnｄaｒd V8、8之前请确认已经成功安装好Microsoｆt、Net Framｅworｋ４、5。

2、双击进行安装。

一路Nexｔ即可。

二、破解将文件拷贝至\IBM\AｐpＳcaｎＳtandard目录下替换源文件即可。

运行ＩBM AppＳcan Sｔandard后显示演示许可证,但就是可以正常进行web网页扫描。

由于破解后依然为演示许可证,所以不可以进行系统更新。

三、使用扫描方式一：1、双击运行程序。

2、直接点击【扫描】选择【完全扫描】即可。

3、提示需要指定URL信息，点击【就是(Y）】4、在此处输入需要扫描得WEB页面ＵRL5、点击【登录管理】，如果需要扫描得ｗｅｂ没有登录得逻辑或者不需要关心登录后得网页扫描,则不用修改该页面下得配置。

本人英语能力有限，如有错误请见谅。

——译者这个向导是AppScan用户向导手册和AppScan在线帮助的补充（fairyox）。

主要目的是为这个产品做介绍，如果需要更多的资料和详细的说明书请参阅用户手册和在线帮助1安装1.1AppScan安装将AppScan安装保存在计算机中，双击它，然后根据提示操作。

1.2注册文件安装AppScan安装中包括一个允许扫描指定站点的注册文件（见章节1.4），但是不能扫描其他站点。

扫描其他站点需要得到IBM授予的合法注册文件。

这样就可以扫描其他站点并读取和保存扫描模版，否则不能运行其他站点的扫描。

安装扫描文件：1.打开AppScan2.在帮助菜单选择License3.如果已经有注册文件：点Load License File，找到注册文件，点Open。

或者在网上获得注册文件：确认连接好Internet网，点Obtain License Online，然后根据提示操作4.点ok关闭注册对话框。

1.3升级IBM每天升级AppScan的应用弱点数据库。

每次AppScan会自从从IBM搜索、安装升级补丁。

用户也可以随时手动升级：打开AppScan，点击升级，根据提示操作。

1.4AppScan的试用版如果您在使用AppScan的试用版，注册文件只允许您对IBM Rational AppScan定制的测试站点进行测试：AppScan下载：https:///securearea/appscan.aspx测试站点：/用户名：jsmith 密码：demo12342概述2.1主界面AppScan 主界面包括一个菜单栏、工具栏和视图选择，还有三个数据窗口：应用树、结果列表和细节。

下图是主界面在进行数据扫描（扫描前三个数据窗口和统计图是空白的）。

2.2站点扫描的基本原理AppScan 扫描由两个阶段组成：探测和测试。

探测阶段：AppScan 用模拟人为点击链界和填写表格的方式探测站点（应用或者Web 服务）。

AppScan操作⼿册AppScan操作⼿册1.SQL注⼊1.1.什么是sql注⼊所谓SQL注⼊（SQL Injection），就是利⽤程序员对⽤户输⼊数据的合法性检测不严或不检测的特点，故意从客户端提交特殊的代码，从⽽收集程序及服务器的信息，获取想得到的资料（如数据库⽤户名、密码、表结构等）。

SQL注⼊是从正常的WWW端⼝访问，⽽且表⾯看起来跟⼀般的Web页⾯访问没什么区别，所以⽬前市⾯的防⽕墙都不会对SQL注⼊发出警报。

动态⽣成Sql命令时没有对⽤户输⼊的数据进⾏验证是Sql注⼊攻击得逞的主要原因。

1.2.sql注⼊原理攻击者会将⼀些恶意代码插⼊到字符串中，然后会通过各种⼿段将该字符串传递到SQLServer数据库的实例中进⾏分析和执⾏。

只要这个恶意代码符合SQL语句的规则，则在代码编译与执⾏的时候，就不会被系统所发现。

SQL注⼊式攻击的主要形式有两种：⼀是直接将代码插⼊到与SQL命令串联在⼀起并使得其以执⾏的⽤户输⼊变量，由于其直接与SQL语句捆绑，故也被称为直接注⼊式攻击法。

⼆是⼀种间接的攻击⽅法，它将恶意代码注⼊要在表中存储或者作为原数据存储的字符串。

在存储的字符串中会连接到⼀个动态的SQL命令中，以执⾏⼀些恶意的SQL代码。

2.AppScan注册2.1.注册步骤1.将patch.exe⽂件当到APPSCAN的安装⽬录（如：D:\Program Files\IBM\Rational AppScan）下，运⾏。

2.运⾏keygen.exe，⽣成lince.lic⽂件。

打开APPSCAN，帮助-》许可证-》装⼊旧格式（.lic）的许可证，将刚才⽣成的.lic⽂件装载。

3.新建扫描任务3.1.扫描模板选择打开AppScan⼯具，点击“新建”，会弹出⼀个扫描模板选择框，⼀般选择“常规扫描” 或者⾃⼰定义的模板。

下⼀步会进⼊扫描配置向导，选择执⾏的扫描类型，默认是“Web应⽤程序扫描”，点击“下⼀步”，输⼊“起始URL”3.2.登录管理进⼊登录管理，因为有些页⾯需要登录后才能做有效的扫描，这⾥记录的是登录所需信息，便于扫描时能登录应⽤程序。

appscan扫描测试策略模板选择生产站点
当使用AppScan进行扫描测试时，可以使用以下的策略模板来选择生产站点：
1. 全面扫描（Comprehensive Scan）：该模板适用于对目标应用程序进行全面测试的情况。

它会扫描包括所有页面和功能在内的整个应用程序，以检测所有可能的安全漏洞。

2. 常规扫描（Standard Scan）：该模板适用于快速但一般性的应用程序扫描。

它会扫描常见的安全漏洞，并对目标应用程序的主要页面和功能进行测试。

3. 高风险扫描（High Risk Scan）：该模板适用于对高风险应用程序或关键业务功能进行深入测试的情况。

它会强调对具有较高潜在风险的漏洞进行深入检测和分析。

4. 合规扫描（Compliance Scan）：该模板适用于需要验证应用程序是否符合特定合规标准（如PCI DSS）的情况。

它会扫描与合规性相关的安全漏洞，并生成符合标准要求的报告。

选择适合的模板取决于您的需求和应用程序的重要性。

根据情况，您还可以定制化模板，以便特别关注某些特定的漏洞类型或配置要求。

在进行任何扫描之前，请确保您拥有合法授权来测试目标应用程序，并遵守适用的隐私和法律规定。