APPSCAN安装、手动扫描及自动扫描

APPSCAN扫描原理：

appscan通过自动爬取（自动探索扫描）或者手动探索到的URL等表单参数进行分析、得出可能存在问题的参数点、对参数点进行脚本替换然后提交服务器看服务器的响应进行问题判断，最后得出结果。所以扫描过程中可能会对系统功能菜单的增删改数据存在影响，且扫描过程会向服务器提交大量数据包，所以强烈不建议在正式环境进行扫描，否则可能导致系统数据紊乱、系统宕机等高风险事故。

 

注意：

1.进行该扫描请保证系统性能良好，因为扫描过程中扫描工具会向服务器发送几十万甚至上百万的请求，如果服务器性能较差可能会宕机。

2.小网站不建议选择自动安全扫描，因为自动扫描可能会因为系统页面的耦合性关系导致爬虫找不到一些页面，所以建议采用手动探索后继续仅探索后继续仅测试，大网站建议采用完全自动扫描。

3.安装包下载链接：

9.0.3.5链接：https://pan.baidu.com/s/1WoTMxWZaaB-6zwSA8N5hkQ 
提取码：zvcu 

9.0.3.13链接：https://pan.baidu.com/s/1LS018h2EGiabgFtEEUpm8A

提取码：6hm1 

 

一、安装

1.1 APPScan安装运行需要.NET框架，所以APPScan安装之前请先安装.NET框架(如电脑已自带.net可以不用安装，安装前请自行查看系统是否安装.net环境，.net安装包在9.0.3.5里面)。将安装包压缩包解压。点击如图程序进行安装即可。

​

1.2 NET环境安装后，点击APPSCAN安装包既可开始安装，安装过程中除一个弹框让选择是否下载Webservice服务选择否以外，其它全部不要管，直接下一步就可以。

​

1.3安装完成后，导入如下图证书即可

​

二、手动探索扫描

2.1证书导入成功后即可正常使用，双击桌面图标打开。

​

2.2 打开程序以后点击工具/选项/首选项/使用外部浏览器，可根据需求进行配置。如已安装浏览器但仍提示未安装，可尝试使用其它浏览器或使用嵌入浏览器，完成以后点击确定按钮。

​

2.3 点击手动探索，选择是；输入需要扫描的地址，系统会自动检测网络连通性（如果未显示已连接到服务器，点击网址栏后面的web图标进行连通性测试，如果能正常打开网址，可忽略该提示），此处如果对扫描类型有要求的话可以根据测试策略主动进行相应配置，如无要求，默认即可。

​ ​

2.4点击确定以后，系统会根据之前的选项设置调用相应的浏览器打开输入的测试网址；然后按照正常操作进行网页浏览，尽量覆盖到所有的页面（包含增删改查功能），系统会记录到浏览过的所有URL（我们进行浏览覆盖的目的就是为了获得更多的URL，以防止漏测）。

​

2.5 浏览完成后，点击右下方的确定按钮（如果连接状态随着和浏览器状态有关的话建议不要退出，防止session失效）会出现我们已手动探索到的页面信息，我们需要过滤掉不属于我们测试网站的URL，然后点击确定按钮，系统会对我们探索到的URL进行扫描去重等处理。

 

​

2.6 URL进行去重等处理以后，点击左上角的扫描/仅测试按钮，系统会对我们的信息进行自动测试处理。（扫描过程时长由服务器性能和扫描URL链接<参数量>多少及测试策略决定）。

注意：如果担心自己有些URL没点到，可以选择扫描/继续仅探索进行自动探索，以保证能覆盖到更多的URL。

​

2.7 测试完成后，系统会显示所有存在安全问题的URL，其中红色为高危漏洞，感叹号为中危漏洞，我们一般仅需解决这两类漏洞即可。点击漏洞的URL下方的元素，我们能在右侧看到该问题的具体信息，包括问题信息、咨询、修订建议及请求/响应。我们一般仅需要关注payload脚本插入的地方即可。我们点击请求/响应即可看到脚本插入的位置以及脚本插入后产生的反应，右侧会有参数插入过程的简介，点击在浏览器中显示即可在浏览器中直观看到该漏洞的web页面反应。我们根据推论到系统中相应的地方进行整改即可。

​

​

三、自动探索扫描

3.1 完全扫描相对手动工作量较小，我们在定义了环境以后只需要录制一个登录脚本就可以完全自动扫描了。首先定义扫描环境：

​

然后切换到登录管理页面，点击记录按钮选择推荐的浏览器进入该系统登录页面，输入账号密码以后点击登录进入系统，进入系统以后点击右下方的“我已登录到站点” 按钮即可完成登录脚本的录制。后续设置若无特殊要求可以全部默认，最后点击确认即可开始自动扫描（注意：某些系统采用了非对称加密算法导致每次密码参数都会变化，所以可能登录序列会重放失败，具体情况具体分析），分析结果和手动扫描一样，此处不再赘述。

​

​

生成报告：点击“报告”按钮，弹出创建报告页面，下拉选择需要的报告模板，建议选择如图。

​