IBM测试appscan教程.ppt

质量保证部朱晟 IBMAPPSCAN安全测试工具基础 内容概要 WatchfireAppScan是业界第一款并且是领先的web应用安全测试工具包 也是唯一一个在所有级别应用上提供全面纠正任务的工具 AppScan扫描web应用的基础架构 进行安全漏洞测试并提供可行的报告和建议 AppScan的扫描能力 配置向导和详细的报表系统都进行了整合 简化使用 增强用户效率 有利于安全防范和保护web应用基础架构 在商业安全扫描工具中 提供简体中文支持的 目前也只有AppScan一个 内容索引 系统需求安装过程许可证安装简单的运行安全测试 系统需求 安装RationalAppScan 安装向导 会指导您快速简单地完成安装过程 许可证安装 由于新版7 8以前的产品的旧格式 lic 许可证可以继续用于新版本的APPSCAN所以可以使用以下方法进行破解 解压AppScan7 8破解 rar你会看到 patch exekeygen exe如果没有看到keygen exe那肯定被你的杀毒软件给干了 解压之前一定要关掉所有杀毒的 包括关闭自动防护 第一步 打开patch exe patch Cannotfindthefile Searchthefile 是 AppScan安装目录下 选中engine control dll OK第二步 打开keygen exe 在第一个框TeamEDGE输入随便输入如 keygen Generate 当前目录生成license lic第三步 将自动生成的license lic复制到APPSCAN的安装目录下 第四步 打开APPSCAN程序 单击帮助 许可证 装入旧格式 lic 许可证 成功后可以看到显示 许可证 旧许可类型 EnterpriseEdition 安全测试基本工作流程 扫描的原则 扫描的原则 Appscan全面扫描 包含两个阶段 探索和测试 探索阶段在第一个阶段里 appscan会通过模仿成web用户单击链接并填写表单字段来探索站点 web应用程序或webserver 这就是探索阶段 探索阶段可以遍历每个URL路径 并分析后创建测试点 测试阶段 测试 期间 appscan会发送它在 探索 阶段创建的成千上万个定制的测试请求 通过你定制好的测试策略分析每个测试的响应 最后根据规则识别应用程序中的安全问题 并排列这些安全问题的风险级别 启动AppScan应用程序 显示主窗体 尝试一次简单的安全测试 菜单栏 涵盖了AppScan中的所有可用功能工具条 常用功能的快捷菜单 如开始扫描 扫描配置 扫描专家等左上部网站导航视图 应用程序树 在扫描过程中AppScan会按照一定的层次组织显示站点结构图 默认是按照URL层次进行组织 用户可以在扫描配置中更改这一设置 右上部安全问题显示视图 结果列表 AppScan将在此视图中列出检测到的所有安全缺陷左下部安全问题汇总视图 仪表板 AppScan将在此视图中列出检测到的安全缺陷统计信息右下部安全问题详细信息视图 此视图的内容与安全问题显示视图相关 用来显示某特定安全问题的详细信息 包括问题介绍 修复建议 测试数据等 如果你是第一次启动 屏幕中央将会出现一个 欢迎 对话框 在此对话中 您可以点击 入门 链接 查看IBMRationalAppScan的 新手入门帮助文档 也可以点击 创建新的扫描 来创建您的第一次Web安全扫描任务 以下例子将选择 常规扫描 举例 点击右侧预定义模板中的 常规扫描 链接 将出现 扫描配置向导 这里提供web应用程序和webserver的扫描 如果需要webserver的扫描必须先下载 实例 我们显示使用IBM提供的测试Web站点 使用软件预定义的模板 会自动显示在 NewScan 对话框中 点击URL链接后的按钮可以打开APPSCAN浏览器查看网站是否可以正常连接 在弹出登录提示框时 用于登录这一测试站点的用户名及密码为 用户名 Username jsmith密码 Password Demo1234 选择适当的测试策略 完成扫描配置向导完成配置后启动扫描专家的话 此时会关闭向导 并打开 扫描专家 面板 以评估站点当前的配置 自动保存 执行你的第一次Web安全扫描任务 在执行Web安全扫描任务的过程中 您可以随时查看已经检测出的Web安全问题 扫描专家评估完成后 会显示所建议的配置更改核实表 这里要注意的是 如果存在用户输入的APPSCAN无法执行的更改 那么它们的复选框会显示成灰色且为未选中状态 如果要修改这些更改 单击更改的链接 Web安全扫描任务完成 结果传家 通常在全面扫描之后自动运行 但是它也可以在全面或部分扫描结果上随时手动运行 如果测试时间有限的话 如果结果数量很大的话你可以决定不适用 结果专家 安全报告 会提供扫描期间发现的安全问题信息 1 在工具菜单上 单击报告 然后选择安全报告 2 选择模板 管理综合报告 详细报告 修复任务 开发者 QA 站点目录 注 可以通过你所需要的内容 在右侧树中选择你报告所有体现的内容3 从最低严重性列表中 选择要包含在报告中的问题最低严重性级别 4 点击保存报告 自动生成报告 报告提供PDA或WORD格式的保存 检查您的站点是否处于XSS攻击保护的方法