IBM Rational AppScan使用詳細說明

標籤：

轉自：http://www.nxadmin.com/tools/675.html

本文將詳細介紹Appscan功能選項設定的細節,適合E文一般,初次接觸Appscan的童鞋參考閱讀.

Appscan是web應用程式滲透測試舞台上使用最廣泛的工具之一.它是一個傳統型應用程式，它有助於專業安全人員進行Web應用程式自動化脆弱性評估。本文側重於配置和使用Appcan，分析掃描結果將在下一篇文章中討論.

Appscan的主要特點:

Appscan 8.5標準版有很多新的功能，其中大部分將在我下面的概要中涵蓋：

Flash支援： 8.0 Appscan相對早期的版本增加了flash支援功能，它可以探索和測試基於Adobe的Flex架構的應用程式，也支援AMF協議。

Glass box testing:：Glass box testing是Appscan中引入的一個新的功能.這個過程中，安裝一個Proxy 伺服器,這有助於發現隱藏的URL和其它的問題。

Web服務掃描：Web服務掃描是Appscan中具有有效自動化支援的一個掃描功能。

Java指令碼安全分析：Appscan中介紹了JavaScript安全性分析,分析抓取html頁面漏洞，並允許使用者專註於不同的用戶端問題和DOM（文件物件模型）為基礎的XSS問題。

報告：根據你的要求，可以產生所需格式的報告。

修複支援：對於確定的漏洞,程式提供了相關的漏洞描述和修複方案.

可定製的掃描策略：Appscan配備一套自訂的掃描策略,你可以定製適合你需要的掃描策略。

工具支援：它有像認證測試，令牌分析器和HTTP請求編輯器等,方便手動測試漏洞.

Ajax和Dojo架構的支援。
現在，讓我們繼續學習更多有關安裝和使用Rati??onal AppScan掃描Web應用程式的過程。

Appscan的安裝：

要運行Appscan的系統至少需要2GB的RAM,同時確保安裝了.net framwork和Adobe flash來執行掃描過程中的Flash內容。在進一步之前，需要注意的是,這種自動掃描器會發送資料到伺服器,有可能在掃描過程中讓伺服器超過負荷，所以它可能會刪除伺服器上的資料，添加新記錄甚至讓伺服器崩潰.因此掃描之前最好備份所有的資料.

安裝Appscan之前，關閉所有開啟的應用程式。點擊安裝檔案，會出現安裝嚮導,如果你還沒有安裝.Net framwork，Appscan安裝過程會自動安裝，並需要重新啟動。按照嚮導的指示，可以很容易的完成安裝.如果你使用的是預設許可，你將只允許掃描appscan中的測試網站。要掃描自己的網站，需要付費購買許可版本.

探索和測試階段：

在我們開始掃描之前，讓我們對Appscan的工作做一個瞭解.任何自動化掃描器都有兩個目標：找出所有可用的連結和攻擊尋找應用程式漏洞。

探索(Explore):

在探索階段，Appscan試圖遍曆網站中所有可用的連結，並建立一個階層。它發出請求，並根據響應來判斷哪裡是一個漏洞的影響範圍。例如，看到一個登陸頁面，它會確定通過繞過注入來通過驗證.在探索階段不執行任何的攻擊，只是確定測試方向.這個階段通過發送的多個請求確定網站的結構和即將測試的漏洞範圍。

測試(Test)：

在測試階段,Appscan通過攻擊來測試應用中的漏洞.通過釋放出的實際攻擊的有效載荷，來確定在探索階段建立的安全性漏洞的情況.並根據風險的嚴重程度排名。

在測試階段可能回傳現網站的新連結，因此Appscan在探索和測試階段完成之後會開始另一輪的掃描，並繼續重複以上的過程，直到沒有新的連結可以測試。掃描的次數也可以在使用者的設定中配置.

開始Appscan掃描：

Appscan的試用版可以從下面的連結下載並安裝：

http://www.ibm.com/developerworks/downloads/r/appscan/~~V

開始掃描,啟動Appscan，你會看到圖一中所示的歡迎畫面.

圖一

點擊”Create New Scan” 開始掃描一個新的Web應用程式

圖二

選擇一個適合你要求的掃描模板。模板包括已經定義好的掃描配置.選擇一個模板後會出現設定精靈。它會問你選擇的掃描類型，選擇”Web Application Scan”，然後點擊Next

掃描設定精靈是該工具的核心部分,使用設定嚮導，會讓Appscan知道的需求,其中有很多可供的需求選擇.

URL and Servers(URL和伺服器)

Starting URL(起始網址)：此功能指定要掃描的起始網址.在大多數情況下，這將是該網站的登陸頁面.選擇http://demo.testfire.net這個示範站來測試Web應用程式漏洞.如果你想限制只掃描到這個目錄下的連結,選中該複選框.

Case Sensitive Path(大小寫選擇):如果你的伺服器URL有大小寫區別,選擇此項。對大小寫區別取決於伺服器的作業系統,Linux/Unix中對大小寫是敏感的,而Windows是沒有的.

 

圖三：

Additional Servers and Domains(另外的伺服器和域):在掃描過程中Appscan嘗試抓取本網站上的所有連結。當它發現了一個連結指向不同的域,它是不會進行掃描攻擊的,除非在”Additional Servers and Domains”中有指定.因此,通過指定該標籤下的連結,來告訴Appscan繼續掃描,即使它和URL是不同的域下.點擊下一步繼續。

Login Management(登陸管理)

在掃描的過程中，可能會不小心碰到退出按鈕導致Appscan登出.因此,要登陸到應用程式中,我們需要根據本條中的設定。

Recorded(記錄):選擇此項後,會出現一個新的瀏覽器，並嘗試連結到指定的網站作為本掃描的起始URL.你需要輸入帳號和密碼登陸到應用程式.這樣設定之後你可以關閉瀏覽器，但是不要點擊登出按鈕.有時候你會發現開啟的瀏覽器不是IE或者Mozilla，而是Appscan瀏覽器.你可以改變通過設定來改變這個.Tools–>Options –>Advanced,設定OpenIEBrower的值0–Appscan瀏覽器,1–IE,2–Firefox,3–Chrome.如果該網站的行為在不同的瀏覽器下有所不同,這個設定將是非常有用的.

圖四

Prompt(提示):每次登出之後,Appscan會提示你登陸到應用程式中.如果你打算整個掃描你的系統，你可以選擇這個選項.

Automatic(自動)：在這裡你可以直接指定使用者名稱和密碼,當你需要登陸到應用程式的時候.

圖五

點擊下一步繼續.

Test Policy

根據你的測試策略,你需要選擇最適合你需求的策略,現有的策略都是預設的,僅應用和基礎設定，侵入性的，完整的，關鍵的少數等等.其中大多是使用現有的策略.如果你不希望在登陸時發送測試和登出頁面，你可以選擇該選項。

圖六

點擊下一步繼續.

Complete

這是開始掃描的最後一步.IBM Rational Appscan允許你選擇你想要的掃描方式，即完成掃描,探索掃描等.

Start a full automatic sacn(開始一個完整的自動掃描):隨著前面建立的配置,Appscan將開始探索和測試階段.

Start with automatic explore only(開始探索掃描):Appscan只會探索應用程式，但不發送攻擊.

Start with manual explore(開始手動探索):瀏覽器將被開啟,你可以手動瀏覽器應用程式.

當你想做出更多的更改掃描配置,你可以選擇最後一個選項”i will start scan later”.

在我們開始之前,我們有很重要的事情要做,它是Appscan的心臟和靈魂-“Full scan Configuration(全域掃描配置)”視窗.讓我們明白為什麼它在掃描任意應用程式的時候那麼重要.

AppScan滲透測試工具

圖七：

Full Scan Configuration

在中，有四個主要的部分–探索，連結，測試和一般，讓我們看看具體的細節：

Explore

URL and Servers(URL和伺服器): 掃描的URL和額外的伺服器連結的處理.

Login Management(登陸管理):除了登陸方法,如果你想在Appscan同時登陸，通過這個可以指定.這將減少總的掃描時間.你還可以指定Regex檢測登出頁.

圖八：

Environment Definition(環境的定義):在此設定下，你可以指定作業系統,Web伺服器,資料庫伺服器,以及其它第三方組件,它可以協助你提高掃描的精度和效能。

 

圖九：

Exclude Paths and Files(排除路徑和檔案):設定掃描過程中排除的特定路徑,甚至是特定的檔案,比如.mps或.7z等.你可以在此選項下通過Regex來設定.

Explore Options(瀏覽選項):冗餘路徑選項有助於設定Appscan針對相同路徑的掃描次數限制。因為有時Appscan可能會進入一個無限迴圈一次又一次掃描相同的URL.

Parameters and Cookies(參數和Cookies):包括有關參數的詳細資料和應用程式中存在的COOKIES.

Automatic Form Fill(自動表格填寫):在掃描過程中,Appscan遇到需要輸入的形式.例如，一個註冊頁面，可能需要輸入值，比如使用者名稱和地址等。通過選擇此項,可以讓Appscan自動填寫這些資訊.

Error pages(錯誤頁面):你在此配置下輸入的錯誤頁面將協助Appscan判斷錯誤頁面.

Multi-Step Operations(多步驟操作):有部分應用程式,只有當你請求的資料按一定的順序才可以達成(比如電子商務網站).通過這個設定你可以點擊”start recording”來記錄其序列.

Glass box Scanning:Glass box Scanning是Appscan引入的一個新的功能,代理將被安裝在伺服器上,這有助於掃描找到隱藏的URl和其它的問題.

Communication and Proxy(通訊及代理):你可以指定掃描器是否可以使用IE瀏覽器的代理設定(或不能使用任何代理)。

HTTP Authentication(HTTP身分識別驗證):使用用戶端認證,上傳認證檔案和密鑰檔案.

Test Policy(測試策略):所有的測試名稱都列在這個部分,如果你不想Appscan掃描特定的漏洞，你可以取消其中的任何一個.

 

圖十：

Test Options(測試選項):這個部分你可以選擇適合的測試選項.Appscan發送大量的測試，需要花費大量的時間.但是選擇適性測驗,Appscan會嘗試發送,以確定是適當的測試.它可以檢測到伺服器是IIS,然後只發送其中針對IIS的脆弱性檢測測試,而不會檢查其它伺服器有關的問題.

Privilege Escalation(特權升級):你可以上傳不同許可權的使用者或未經授權的使用者掃描的掃描檔案。

Scan Expert(掃描專家):掃描專家提出了建議，以更好的掃描應用程式。

點擊OK，將回到最初的掃描嚮導視窗.選擇”start a full automatic sacn”,單擊”finish”。完成配置過程，開始Appscan掃描.下一篇文章中，我們將探討有關Appscan掃描結果分析.

原文連結：http://resources.infosecinstitute.com/ibm-rational-appscan/
E文水平和經驗有限,翻譯不甚準確,歡迎大家多多留言指正.

IBM Rational AppScan使用詳細說明