目录
AppScan
AppScan是一款非常好用且功能强大的Web 应用安全测试工具,曾以 Watchfire AppScan 的名称享誉业界,AppScan 可自动化 Web 应用的安全漏洞评估工作,能扫描和检测所有常见的 Web 应用安全漏洞,例如 SQL 注入(SQL-injection)、跨站脚本攻击(cross-site scripting)、缓冲区溢出(buffer overflow)和最新的 Flash/Flex 应用以及 Web 2.0 应用曝露等方面安全漏洞的扫描
Appscan工作原理小结如下:
- 通过爬行发现整个web应用结构
- 根据分析,发送修改的HTTP Request进行攻击尝试(扫描规则库)
- 通过对Response 的分析验证是否存在安全漏洞
软件功能
AppScan 采用三种彼此互补和增强的不同测试方法:
- 动态分析(“黑盒扫描”):这是主要方法,用于测试和评估运行时的应用程序响应。
- 静态分析(“白盒扫描”):这是用于在完整 Web 页面上下文中分析 JavaScript 代码的独特技术。
- 交互分析(“glass box 扫描”):动态测试引擎可与驻留在 Web 服务器本身上的专用 glass-box 代理程序交互&#