WEB扫描类产品测试--AppScan-WVS-WebRavor(3)

2.2   功能总结

       在对应用系统类型的支持上，三款产品都支持HTTP和HTTPS协议的应用系统，但是对于复杂的ERP系统，APPSCAN和WVS不能够支持，只有WebRavor能够支持。

       三款产品都具备了应用系统评估工具的基本功能：爬行和检测。WVS过于依赖自己的爬行和检测的能力，不允许按web应用系统操作流程的方式进行手动测试，不允许策略扩展，这对于千变万化的应用系统是致命的弱点。AppScan和WebRavor允许手动测试和策略的扩展，WebRavor的手动测试更易用，在扫描过程中就可以使用，而AppScan是在扫描开始前或结束后采用访问记录的方式对记录的页面进行检测。

       数据库审计和渗透测试是WebRavor独有的功能，通过SQL注入点对数据库进行审计，获取数据库信息和提供渗透测试框架，从而证明应用系统漏洞的危害性。AppScan和WVS在SQL注入的验证上还存在不足，不能证明弱点是否对应用系统造成的危害。

       综上所述，从软件的功能上来看，在对更多更复杂的应用系统的检测能力上，WebRavor更胜一筹，并且能够对弱点的危害进行验证。AppScan在对ERP系统的支持上不能够令人满意， 而WVS没有提供任何的扩展功能，一旦遇到应用程序无法识别的状况，该软件则无法使用。从功能上综合分析，WebRavor最强，AppScan稍弱，WVS其次。

三.   结果分析

3.1   测试时间

测试站点	xAppScan	yWVS	zWebRavor
testphp.acunetix.com	1小时33分钟	3小时20分钟	21分钟
demo.testfire.net	1小时7分钟	3小时58分钟	10分钟
demo.webravor.com	27分钟	42分钟	3分钟
www.target.com	1小时1分钟	1小时7分钟	20分钟

3.2   结果统计

统计的基础规则：

        WVS的统计包括了所有的变种，我在统计的过程中去除变种的数字，按照出现漏洞的参数进行统计，这样我认为是比较科学的WEB应用弱点统计的方法。

准确率的统计分两种方法：

1.按照每个产品发现的弱点进行验证，如A工具的弱点为A1、A2、A3，对A1、A2、A3的弱点进行验证，验证出的真实弱点/总弱点数=准确率，工具B同样采取此方法。

2.对具有相同弱点名称的弱点，如3个工具都具有检测SQL注入的策略，则对发现SQL注入的准确率进行统计。