（轉載）AppScan使用分享

標籤：browser   comm   操作   url   技術分享   nal   chrome   使用   網址   

 轉載：http://www.cnblogs.com/fnng/archive/2012/10/09/2717568.html

  這裡主要分享如何使用AppScan對一大項目的部分功能進行安全掃描。

------------------------------------------------------------------------ 

　　其實，對於安全方面的測試知道的甚少。因為那公司每個月要求對產品進行安全掃描。掌握了一人點提示，所以拿來與大家分享。

　　因為產品比較大，功能模組也非常之多，我們不可能對整個產品進行掃描。再一個每個測試員負責測試的模組不同。我們只需要對自己負責測試的模組掃描即可。

　　掃描工具自然是IBM AppScan  ，功能強大，使用簡單。略懂安全性測試的都使用或聽說過這個工具。這裡就不過多介紹了。

 

抽取被掃描功能的連結                                                             

　　

　　首先要抽取掃描的連結。fiddler工具來抽取。開啟系統，找到你需要做掃描的功能模組，開啟fiddler攔截功能，然後對你所要測試的功能做各種操作，fiddler就會記錄的所有訪問的連結，因為涉及到隱私，所以會比較模糊。

其實，請求中有非常多的連結，但許多是一樣，我們只要把不一樣的全找出來就可以了。這裡你需要知道每個串連的情況。也有一些外部連結是不需要抽取的。

 

aaa.bbb.cng2.aaa.bbb.cng1.aaa.bbb.cnwebapp.aaa.bbb.cnuec.aaa.bbb.cnaddrapi.aaa.bbb.cnsmsrebuild1.aaa.bbb.cndisk2.aaa.bbb.cnmw.aaa.bbb.cnscriptlog.aaa.bbb.cnimages.139cm.comappmail.aaa.bbb.cngfile5-disk.aaa.bbb.cngfile8-disk.aaa.bbb.cngfile7-disk.aaa.bbb.cn

把所有連結抽取出來之後就沒幾個了。去掉重複的就沒多少了。

 

 

 完成設定精靈                                                                          

 

　　下面開啟appscan建立掃描。（關於appascan的下載安裝與破解、介紹，我在另一篇博文已講）

選擇常規掃描，進入設定精靈。點擊下一步，進入配置

 

上面這一步是重點，起始URL填寫你要掃描的網址。其它伺服器和域：這裡把抽取的所有連結都添加進去。包括後網站的首頁連結。點擊下一步。

 

這裡提供三種方式來記錄帳號，不多介紹。第一種和第三種最常用。

 

然後點擊幾個下一步後出現後面的選項，選擇第三個或第四項完成掃描的配置。

 

 

 錄製掃描指令碼                                                                        

 

　　完成配置後，下面就要開始錄製指令碼了呢。

　　點擊工具列上的探索按鈕，appscan會開啟內建瀏覽器，輸入系統使用者名稱密碼登入系統，對你要掃描的模組功能進行操作。

為我開啟的appscan內建瀏覽器（因為我輸入的網址有誤，所以無法訪問）。操作完成之後，點擊暫停按鈕，關閉瀏覽器視窗即可。

 

　　關閉瀏覽器後，上面的視窗中會記錄所有你訪問的串連，點擊確定。所有的資訊就會記錄下來了，下面要做的點擊點擊工具列上的掃描按鈕開始掃描。我們一般晚上下班進行，第二天早上來看掃描結果就可以了。

 ------------------------------------

　　本來到這裡就可以結束了，我再多說個設定。呵呵！在手動探索的時候，因為開啟的瀏覽器是appscan內建的，可能會存在相容性問題，有些頁面無法正常開啟。那麼是否可以用我們電腦上的瀏覽器（IE 、Firefox、Google）來進行錄製呢了。當然是可以的。

功能表列--工具---選項----進階

 

這個一定要大圖，我們只需要修改openExternalBrowser 選項“值”的參數就可以了（1=IE、2=firefox、3=chrome）。

 -----------------

 

安全性測試挺有前途的，國內起步很晚，這兩年才逐漸受到重視。公司也越來越重視安全。

（轉載）AppScan使用分享