APPSCAN测试策略
使用APPSCAN进行安全性检测总结
使用Appscan保障Web应用安全性编写：梁建增Appscan简介IBM Rational AppScan Standard Edition 是一种自动化Web 应用程序安全性测试引擎，能够连续、自动地审查Web 应用程序、测试安全性问题，并生成包含修订建议的行动报告，简化补救过程。
IBM Rational AppScan Standard Edition 提供：核心漏洞支持：包含W ASC 隐患分类中已识别的漏洞——如SQL 注入、跨站点脚本攻击和缓冲区溢出。
广泛的应用程序覆盖：包含集成Web 服务扫描和JavaScript 执行（包括Ajax）与解析。
自定义和可扩展功能：AppScan eXtension Framework 运行用户社区共享和构建开源插件。
高级补救建议：展示全面的任务清单，用于修订扫描过程中揭示的问题。
面向渗透测试人员的自动化功能：高级测试实用工具和Pyscan 框架作为手动测试的补充，提供更强大的力量和更高的效率。
法规遵从性报告：40 种开箱即用的遵从性报告，包括PCI Data Security Standard、ISO 17799 和ISO 27001 以及Basel II。
1.信息系统安全性概述在进行软件安全性检测之前，首先我们应该具备一定的信息系统安全性的知识，在我们对整体范围的信息系统安全性保障有一定认识的前提下，才能决定我们能更好的保障该环境下的软件应用安全性。
计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
从而我们可以得知计算机信息系统的安全性是一个相当复杂且广的课题，通常情况下，计算机信息系统都是以应用性为主题，以实现不同用户群的相应需求实现。
而应用性的实现通常是采用应用软件而达成。
典型的计算机信息系统，包括了机房环境，主机设备，网络交换设备，传输通信媒介，软件系统以及其他相关硬软件，而由于当前信息系统网络的连通性，给安全性问题带来了更大的挑战。
APPSCAN安全测试_JAVA_WEBLOGIC_ORACLE测试策略
OpenBB跨站点脚本编制
High
TOPo 2.2跨站点脚本编制
High
PostNuke RSS模块跨站点脚本编制
High
Help Center Live跨站点脚本编制
High
Wordpress跨站点脚本编制
High
SiteMinder跨站点脚本编制
High
Comersus购物车跨站点脚本编制
跨站点请求伪造
Medium
Microsoft IIS Hit Highlighting认证旁路
Medium
永久Cookie包含敏感的会话信息
High
注销后会话未失效
High
外部会话标识实施
High
会话标识未更新
High
会话定置
High
HTTP响应分割
Medium
启用了不安全的HTTP方法
Medium
High
Annuaire 1Two跨站点脚本编制
High
i-Gallery跨站点脚本编制
High
IBM Lotus Domino跨站点脚本编制
High
PerlDiver“module”跨站点脚本编制
High
vBulletin跨站点脚本编制
High
Microsoft Site Server跨站点脚本编制
High
Microsoft Index Server .htw跨站点脚本编制
High
HTTP Referer头跨站点脚本编制
High
多供应商Java Servlet容器跨站点脚本编制
High
Apache Tomcat Servlet异常跨站点脚本编制
AppScan使用指导书
AppScan操作手册
CCII/TI-06
AppScan版本：9.0
编制人：王雷
审核人：张莹
发布时间：2018年3月11日
一、打开AppScan软件，点击工具栏上的文件–> 新建，出现一个dialog，如图所示：
这里写图片描述
二、点击“Regular Scan”，出现扫描配置向导页面，这里是选择“Web应用程序扫描“，如图：
这里写图片描述
三、点击”下一步“，出现URL和服务器的配置页面，如图，输入需要测试的URL。
这里写图片描述
四、点击”下一步“，出现登录管理的页面，这是因为对于大部分网站，需要用户名和密码登录进去才可以查看许多内容，未登录的情况下就只可以访问部分页面。
这里写图片描述
这里选择使用的登录方法是自动，即需要输入用户名和密码。
如果选择的是记录，则需要对登录过程进行录入，在录入的过程中，appscan可以记住一些url，方便进行扫描。
五、点击”下一步“，出现测试策略的页面，可以根据不同的测试需求进行选择，这里选择的是”完成（Complete）“，即进行全面的测试，
这里写图片描述
六、点击”下一步“，出现完成配置向导的界面，这里使用默认配置，可根据需求更改，如下图：
这里写图片描述
七、点击”完成“，设置保存路径，即开始扫描，如下图：
这里写图片描述
八、待扫描专家分析完毕，点击”扫描–> 继续完全扫描“即可。
这里写图片描述
九、等待测试完毕，即可分析结果。
Rational AppScan Web应用软件 安全性测试工具的初步认识
AppScan 学习参考内容/ceshi/ceshijishu/rjcsgj/rational/appscan/Rational AppScan 是专门面向Web 应用安全检测的自动化工具，是对Web 应用和Web Services 进行自动化安全扫描的黑盒工具。
它不但可以简化企业发现和修复Web 应用安全隐患的过程（这些工作以往都是由人工进行，成本相对较高，效率低下），还可以根据发现的安全隐患，提出针对性的修复建议，并能形成多种符合法规、行业标准的报告，方便相关人员全面了解企业应用的安全状况。
利用Rational AppScan，应用程序开发团队在项目交付前，可以对所开发的应用程序与服务进行安全缺陷的扫描，自动化检测Web 应用的安全漏洞，从网站开发的起始阶段就扫除Web 应用安全漏洞。
Rational AppScan 工作原理Rational AppScan(简称AppScan)其实是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的AppScan source edition【从代码开始使用复合技术保证Web 应用安全】，到针对Web 应用进行快速扫描的AppScan standard edition【桌面解决方案扫描和测试漏洞和安全缺陷】，以及进行安全管理和汇总整合的AppScan enterprise Edition【将先进的应用程序安全测试与整个应用程序生命周期中的治理、协作和安全性智能相结合。
它使企业能够降低应用程序风险，控制应用程序项目成本】等。
我们经常说的AppScan 就是指的桌面版本的AppScan，即AppScan standard edition。
其安装在Windows 操作系统上，可以对网站等Web 应用进行自动化的应用安全扫描和测试。
来张AppScan 的截图，用图表说话，更明确。
▲图1. AppScan 标准版界面请注意右上角，单击“扫描”下面的小三角，可以出现如下的三个选型“继续完全扫描”、“继续仅探索”、“继续仅测试”，有木有?什么意思?理解了这个地方，就理解了AppScan 的工作原理，我们慢慢展开：还没有正式开始安全测试之前，所以先不管“继续”，直接来讨论“完全扫描”，“仅探索”，“仅测试”三个名词：AppScan 三个核心要素AppScan 是对网站等Web 应用进行安全攻击来检查网站是否存在安全漏洞;既然是攻击，需要有明确的攻击对象吧，比如现在的对象就是卡扎菲上校还有他的军队。
如何有效的使用AppScan扫描大型网站
转载]如何更有效使用Rational AppScan 扫描大型网站Rational AppScan（简称AppScan）其实是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的AppScan source edition，到针对Web 应用进行快速扫描的AppScan standard edition，以及进行安全管理和汇总整合的AppScan enterprise Edition 等。
我们经常说的AppScan 就是指的桌面版本的AppScan，即AppScan standard edition。
其安装在Windows 操作系统上，可以对网站等Web 应用进行自动化的应用安全扫描和测试。
来张AppScan 的截图，用图表说话，更明确。
图 1. AppScan 标准版界面请注意右上角，单击“扫描”下面的小三角，可以出现如下的三个选型“继续完全扫描”、“继续仅探索”、“继续仅测试”，有木有？什么意思？理解了这个地方，就理解了AppScan 的工作原理，我们慢慢展开：还没有正式开始安全测试之前，所以先不管“继续”，直接来讨论“完全扫描”，“仅探索”，“仅测试”三个名词：AppScan 三个核心要素AppScan 是对网站等Web 应用进行安全攻击来检查网站是否存在安全漏洞；既然是攻击，需要有明确的攻击对象吧，比如北约现在的对象就是卡扎菲上校还有他的军队。
对网站来说，一个网站存在的页面，可能成千上万。
每个页面也都可能存在多个字段（参数），比如一个登陆界面，至少要输入用户名和密码吧，这就是一个页面存在两个字段，你提交了用户名密码等登陆信息，网站总要有地方接受并且检查是否正确吧，这就可能存在一个新的检查页面。
这里的每个页面的每个参数都可能存在安全漏洞，所有都是被攻击对象，都需要来检查。
这就存在一个问题，我们来负责来检查一个网站的安全性，这个网站有多少个页面，有多少个参数，页面之间如何跳转，我们可能并不明确，如何知道这些信息？看起来很复杂，盘根错节；那就更需要找到那个线索，提纲挈领；想一想，访问一个网站的时候，我们需要知道的最重要的信息是哪个？网站主页地址吧？从网站地址开始，很多其他频道，其他页面都可以链接过去，对不对，那么可不可以有种技术，告诉了它网站的入口地址，然后它“顺藤摸瓜”，找出其他的网页和页面参数？OK，这就是“爬虫”技术，具体说，是“网站爬虫”，其利用了网页的请求都是用http 协议发送的，发送和返回的内容都是统一的语言HTML，那么对HTML 语言进行分析，找到里面的参数和链接，纪录并继续发送之，最终，找到了这个网站的众多的页面和目录。
AppScan 标准版与源码版功能介绍
IBM Security AppScａn系列介绍IBMＳecurｉｔy ＡppSｃａn系列介绍ﻩ1IBＭSｅcｕrity ＡppｓｃaｎStaｎｄard V8、8介绍ﻩ1简介 (1)一、安装ﻩ1二、破解ﻩ２三、使用 (2)扫描方式一:ﻩ2附:扫描方式二ﻩ７生成报告ﻩ10IBM Sｅcurｉty AｐpＳcan Sｏurｃe Ｖ8、７介绍ﻩ1３13简介ﻩ一、安装ﻩ1314二、破解ﻩ三、使用 (16)IBM Ｓecｕrity Ａppscan StandａrｄV8、8介绍简介ＩBM SecｕriｔｙＡppＳcaｎ就是专门面向Weｂ应用安全检测得自动化工具,就是对Weｂ应用与Wｅb Ｓｅrｖices 进行自动化安全扫描得黑盒工具。
它不但可以简化企业发现与修复Web 应用安全隐患得过程(这些工作以往都就是由人工进行,成本相对较高,效率低下),还可以根据发现得安全隐患,提出针对性得修复建议,并能形成多种符合法规、行业标准得报告,方便相关人员全面了解企业应用得安全状况。
利用IBM SecurityＡppScan,应用程序开发团队在项目交付前,可以对所开发得应用程序与服务进行安全缺陷得扫描,自动化检测Wｅb 应用得安全漏洞，从网站开发得起始阶段就扫除Wｅｂ应用安全漏洞。
一、安装1、安装ＩＢM Sｅｃｕrity AppScaｎStａnｄaｒd V8、8之前请确认已经成功安装好Microsoｆt、Net Framｅworｋ４、5。
2、双击进行安装。
一路Nexｔ即可。
二、破解将文件拷贝至\IBM\AｐpＳcaｎＳtandard目录下替换源文件即可。
运行ＩBM AppＳcan Sｔandard后显示演示许可证,但就是可以正常进行web网页扫描。
由于破解后依然为演示许可证,所以不可以进行系统更新。
三、使用扫描方式一：1、双击运行程序。
2、直接点击【扫描】选择【完全扫描】即可。
3、提示需要指定URL信息，点击【就是(Y）】4、在此处输入需要扫描得WEB页面ＵRL5、点击【登录管理】，如果需要扫描得ｗｅｂ没有登录得逻辑或者不需要关心登录后得网页扫描,则不用修改该页面下得配置。
AppScan使用入门-1
本人英语能力有限，如有错误请见谅。
——译者这个向导是AppScan用户向导手册和AppScan在线帮助的补充（fairyox）。
主要目的是为这个产品做介绍，如果需要更多的资料和详细的说明书请参阅用户手册和在线帮助1安装1.1AppScan安装将AppScan安装保存在计算机中，双击它，然后根据提示操作。
1.2注册文件安装AppScan安装中包括一个允许扫描指定站点的注册文件（见章节1.4），但是不能扫描其他站点。
扫描其他站点需要得到IBM授予的合法注册文件。
这样就可以扫描其他站点并读取和保存扫描模版，否则不能运行其他站点的扫描。
安装扫描文件：1.打开AppScan2.在帮助菜单选择License3.如果已经有注册文件：点Load License File，找到注册文件，点Open。
或者在网上获得注册文件：确认连接好Internet网，点Obtain License Online，然后根据提示操作4.点ok关闭注册对话框。
1.3升级IBM每天升级AppScan的应用弱点数据库。
每次AppScan会自从从IBM搜索、安装升级补丁。
用户也可以随时手动升级：打开AppScan，点击升级，根据提示操作。
1.4AppScan的试用版如果您在使用AppScan的试用版，注册文件只允许您对IBM Rational AppScan定制的测试站点进行测试：AppScan下载：https:///securearea/appscan.aspx测试站点：/用户名：jsmith 密码：demo12342概述2.1主界面AppScan 主界面包括一个菜单栏、工具栏和视图选择，还有三个数据窗口：应用树、结果列表和细节。
下图是主界面在进行数据扫描（扫描前三个数据窗口和统计图是空白的）。
2.2站点扫描的基本原理AppScan 扫描由两个阶段组成：探测和测试。
探测阶段：AppScan 用模拟人为点击链界和填写表格的方式探测站点（应用或者Web 服务）。
AppScan操作手册
AppScan操作⼿册AppScan操作⼿册1.SQL注⼊1.1.什么是sql注⼊所谓SQL注⼊（SQL Injection），就是利⽤程序员对⽤户输⼊数据的合法性检测不严或不检测的特点，故意从客户端提交特殊的代码，从⽽收集程序及服务器的信息，获取想得到的资料（如数据库⽤户名、密码、表结构等）。
SQL注⼊是从正常的WWW端⼝访问，⽽且表⾯看起来跟⼀般的Web页⾯访问没什么区别，所以⽬前市⾯的防⽕墙都不会对SQL注⼊发出警报。
动态⽣成Sql命令时没有对⽤户输⼊的数据进⾏验证是Sql注⼊攻击得逞的主要原因。
1.2.sql注⼊原理攻击者会将⼀些恶意代码插⼊到字符串中，然后会通过各种⼿段将该字符串传递到SQLServer数据库的实例中进⾏分析和执⾏。
只要这个恶意代码符合SQL语句的规则，则在代码编译与执⾏的时候，就不会被系统所发现。
SQL注⼊式攻击的主要形式有两种：⼀是直接将代码插⼊到与SQL命令串联在⼀起并使得其以执⾏的⽤户输⼊变量，由于其直接与SQL语句捆绑，故也被称为直接注⼊式攻击法。
⼆是⼀种间接的攻击⽅法，它将恶意代码注⼊要在表中存储或者作为原数据存储的字符串。
在存储的字符串中会连接到⼀个动态的SQL命令中，以执⾏⼀些恶意的SQL代码。
2.AppScan注册2.1.注册步骤1.将patch.exe⽂件当到APPSCAN的安装⽬录（如：D:\Program Files\IBM\Rational AppScan）下，运⾏。
2.运⾏keygen.exe，⽣成lince.lic⽂件。
打开APPSCAN，帮助-》许可证-》装⼊旧格式（.lic）的许可证，将刚才⽣成的.lic⽂件装载。
3.新建扫描任务3.1.扫描模板选择打开AppScan⼯具，点击“新建”，会弹出⼀个扫描模板选择框，⼀般选择“常规扫描” 或者⾃⼰定义的模板。
下⼀步会进⼊扫描配置向导，选择执⾏的扫描类型，默认是“Web应⽤程序扫描”，点击“下⼀步”，输⼊“起始URL”3.2.登录管理进⼊登录管理，因为有些页⾯需要登录后才能做有效的扫描，这⾥记录的是登录所需信息，便于扫描时能登录应⽤程序。
APPSCAN测试策略
MyBB多重跨站点脚本编制
High
Mantis跨站点脚本编制
High
FlatNuke index.php跨站点脚本编制
High
DRZES HMS login.php跨站点脚本编制
High
Sugar Sales多重跨站点脚本编制
High
MyBB member.php跨站点脚本编制
High
phpMyAdmin index.php跨站点脚本编制
Medium
应用流程Subversion所用的Webevent管理权
Medium
Microsoft FrontPage Extensions站点篡改
Medium
跨站点请求伪造
Medium
Microsoft IIS Hit Highlighting认证旁路
Medium
永久Cookie包含敏感的会话信息
High
CubeCart index.php和cart.php跨站点脚本编制
High
SMBCMS站点搜索跨站点脚本编制
High
My Amazon Store Manager search.php跨站点脚本编制
High
H-Sphere psoft.hsphere.CP跨站点脚本编制
High
Nuked-Klan index.php跨站点脚本编制
High
Manila多重跨站点脚本编制
High
LifeType index.php跨站点脚本编制
High
MODx index.php跨站点脚本编制
High
Visale多重跨站点脚本编制
High
BannerFarm banners.cgi跨站点脚本编制
appscan扫描测试策略模板选择生产站点
appscan扫描测试策略模板选择生产站点
当使用AppScan进行扫描测试时，可以使用以下的策略模板来选择生产站点：
1. 全面扫描（Comprehensive Scan）：该模板适用于对目标应用程序进行全面测试的情况。
它会扫描包括所有页面和功能在内的整个应用程序，以检测所有可能的安全漏洞。
2. 常规扫描（Standard Scan）：该模板适用于快速但一般性的应用程序扫描。
它会扫描常见的安全漏洞，并对目标应用程序的主要页面和功能进行测试。
3. 高风险扫描（High Risk Scan）：该模板适用于对高风险应用程序或关键业务功能进行深入测试的情况。
它会强调对具有较高潜在风险的漏洞进行深入检测和分析。
4. 合规扫描（Compliance Scan）：该模板适用于需要验证应用程序是否符合特定合规标准（如PCI DSS）的情况。
它会扫描与合规性相关的安全漏洞，并生成符合标准要求的报告。
选择适合的模板取决于您的需求和应用程序的重要性。
根据情况，您还可以定制化模板，以便特别关注某些特定的漏洞类型或配置要求。
在进行任何扫描之前，请确保您拥有合法授权来测试目标应用程序，并遵守适用的隐私和法律规定。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Microsoft Outlook Web Access for Exchange URL重定向
Medium
WoltLab Burning Board dereferrer.php URL重定向
Medium
跨站点脚本编制
High
基于DOM的跨站点脚本编制
High
主机允许从任何域进行flash访问
Lyris List Manager访问控制旁路
Medium
GWScripts News Publisher访问控制旁路
Medium
新闻更新访问控制旁路
Medium
WWWboard.pl密码检索
Medium
Powerscripts PlusMail密码更改
Medium
Subscribe Me Mailing List Manager特权升级
High
Zeus Web服务器管理界面跨站点脚本编制
High
”IBM WebSphere“..”跨站点脚本编制
High
Microsoft Index Server .htw跨站点脚本编制
High
Microsoft IIS .shtml和.stm文件跨站点脚本编制
High
HTTP Referer头跨站点脚本编制
Medium
PCCS MySQL数据库管理工具管理员密码泄露
Medium
应用流程Subversion所用的Webevent管理权
Medium
Microsoft FrontPage Extensions站点篡改
Medium
跨站点请求伪造
Medium
Microsoft IIS Hit Highlighting认证旁路
High
Tektronix PhaserLink Webserver远程管理认证旁路
High
JBoss Web管理控制台认证旁路
High
JBoss Java管理扩展控制台认证旁路
High
Macromedia ColdFusion弱会话Cookie
High
Apache JServ弱令牌算法
High
未授权的PL/SQL管理页面访问
测试策略
作者：amxking
QQ：3633526
名称:定制模板测试策略
描述: This policy includes allHonkwintБайду номын сангаасsts except port listener tests.
测试（11483-58480种）：
登录错误消息凭证枚举
High
IIS localstart.asp可能的蛮力
Lotus Domino Web Administration模板访问
Medium
Cobalt RaQ特权升级
Medium
Oracle Application Server管理界面
Medium
Banner Rotating 01特权升级
Medium
Account Manager CGI远程密码更改
Medium
RadBids Gold v2跨站点脚本编制
High
PhotoPost PHP Pro跨站点脚本编制
High
ESMI PayPal Storefront跨站点脚本编制
High
Iatek PortalApp跨站点脚本编制
High
Lotus Domino图像标记跨站点脚本编制
High
多供应商Java Servlet容器跨站点脚本编制
High
Apache Tomcat Servlet异常跨站点脚本编制
High
Microsoft Exchange Server 5.5 Outlook Web Access跨站点脚本编制
High
High
不充分帐户封锁
High
可预测的登录凭证
High
phpMyAdmin控制台远程数据库管理
High
Netscape Administration Server密码检索
High
HTTP PUT方法站点篡改
High
Lotus Domino Web服务器文件检索
High
Macromedia JRun Administration Server认证旁路
High
存储的跨站点脚本编制
High
Oracle Application Server PL/SQL跨站点脚本编制
High
Microsoft .NET Server跨站点脚本编制
High
Microsoft SQLXML跨站点脚本编制
High
ht://Dig Htsearch跨站点脚本编制
High
Microsoft Content Management Server跨站点脚本编制
Medium
通过Cookie操纵的可能的垂直特权升级
Medium
Microsoft FrontPage Server Extensions管理界面
Medium
BEA WebLogic管理界面
Medium
Apache Tomcat Context Administration Tool无特权访问
Medium
Medium
Oracle10gHTTP响应分割
Medium
链接注入（便于跨站请求伪造）
Medium
phpPgAdmin redirect.php URL重定向
Medium
WebDAV MKCOL方法站点篡改
Medium
存储的响应分割
Medium
通过Flash钓鱼
Medium
Flash中的不安全直接对象引用
High
Macromedia Dreamweaver远程数据库未授权的访问
High
Netscape Enterprise Server/Sun ONE未授权的管理特权和拒绝服务
High
表单认证旁路
High
使用SQL注入的认证旁路
High
EWS（Excite for Web Servers）特权升级
Medium
永久Cookie包含敏感的会话信息
High
注销后会话未失效
High
外部会话标识实施
High
会话标识未更新
High
会话定置
High
HTTP响应分割
Medium
启用了不安全的HTTP方法
Medium
通过URL重定向钓鱼
Medium
通过框架钓鱼
Medium
SAP Web Application Server HTTP响应注入
Sun Cobalt RaQ控制面板跨站点脚本编制
High
Oracle HTTP Server iSQL*Plus跨站点脚本编制
High
Sun ONE Web Server搜索跨站点脚本编制
High
phpCMS跨站点脚本编制
High
ProfitCode PayProCart 3.0跨站点脚本编制
High