Appscan的安装和使用

工具简介

---

IBM AppScan是一款非常好用且功能强大的Web 应用安全测试工具，曾以 Watchfire AppScan 的名称享誉业界，Rational AppScan 可自动化 Web 应用的安全漏洞评估工作，能扫描和检测所有常见的 Web 应用安全漏洞，例如 SQL 注入（SQL-injection）、跨站点脚本攻击（cross-site scripting）、缓冲区溢出（buffer overflow）及最新的 Flash/Flex 应用及 Web 2.0 应用曝露等方面安全漏洞的扫描

下载地址

下载地址：https://pan.baidu.com/s/12sfi8wPGs_tOXCucfCAvEg  提取码：ijj6

安装

---

下载完成，如下

双击安装，过程如下

然后进入安装状态，可能需要等几分钟

下载完成后，桌面就多了appscan的图标

加下来打开文件位置，将下载下来的LicenseProvider.dll文件，复制到弹出来的安装目录下，替换目标文件

打开软件如下图

使用

---

启动软件进入主界面—>选择创建新的扫描

在弹出的新建扫描对话框中选择常规扫描

在弹出的扫描配置向导对话框中选择AppScan(自动或手动)，点击下一步

在此页面中填写需要扫描系统的网址，点击下一步

选择登陆方式，我这里不要登陆，直接选择无，如果需要登录的话，选择记录模式，点击下一步

选择一种测试策略（本例以仅应用程序为例）：

测试策略说明：

• 缺省值：包含多有测试，但不包含侵入式和端口侦听器
• 仅应用程序：包含所有应用程序级别的测试，但不包含侵入式和端口侦听器
• 仅基础结构：包含所有基础结构级别的测试，但不包含侵入式和端口侦听器
• 侵入式：包含所有侵入式测试（可能影响服务器稳定性的测试）
• 完成：包含所有的AppScan测试
• 关键的少数：包含一些成功可能性较高的测试精选，在时间有限时对站点评估可能有用
• 开发者精要：包含一些成功可能性极高的应用程序测试的精选，在时间有限时对站点评估可能有用

选择全面自动扫描，点击下一步

在自动保存对话框中选择是

将扫描文件保存在本机目录下

进行第一遍的探索

探索完成获得探索到的结果

在扫描菜单栏中选择扫描配置，弹出扫描配置对话框，在环境定义中选择测试系统需要的配置，点击应用

进行继续完全扫描

等待扫描结果的完成