漏洞扫描：AppScan 识别了不是通过 SSL 发送的密码参数

1、AppScan简介
Rational AppScan（简称 AppScan）其实是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的 AppScan source edition，到针对 Web 应用进行快速扫描的 AppScan standard edition，以及进行安全管理和汇总整合的 AppScan enterprise Edition 等。我们经常说的 AppScan 就是指的桌面版本的 AppScan，即 AppScan standard edition。其安装在 Windows 操作系统上，可以对网站等 Web 应用进行自动化的应用安全扫描和测试。
AppScan 是对网站等 Web 应用进行安全攻击来检查网站是否存在安全漏洞；既然是攻击，需要有明确的攻击对象吧，比如北约现在的对象就是卡扎菲上校还有他的军队。对网站来说，一个网站存在的页面，可能成千上万。每个页面也都可能存在多个字段（参数），比如一个登陆界面，至少要输入用户名和密码吧，这就是一个页面存在两个字段，你提交了用户名密码等登陆信息，网站总要有地方接受并且检查是否正确吧，这就可能存在一个新的检查页面。这里的每个页面的每个参数都可能存在安全漏洞，所有都是被攻击对象，都需要来检查。
2、AppScan安全扫描常见问题及解决思路
2.1、SQL 注入
推理： 测试结果似乎指示存在脆弱性，因为响应包含 SQL Server 错误。这表明测试设法通过注入危险字符穿透了应用程序并到达 SQL 查询本身。
解决方法：编写拦截器或者过滤器，在请求方法执行之前判断参数中是否含有SQL的特殊字符（and、or、1=1、insert、select、update、delete、drop、’），如果有给予提示，没有则继续执行后续操作。


2.2、已解密的登录请求
推理： AppScan 识别了不是通过 SSL 发送的密码参数。

解决方法：密码使用MD5加密即可，即对input type为password的参数进行MD5解密操作。
2.3、查询中的密码参数
推理： AppScan 识别出查询字符串中接收到的密码参数

解决方法：敏感字段传参时，需要使用MD5加密。
2.5、跨站点脚本编制
推理： 测试结果似乎指示存在脆弱性，因为 Appscan 在响应中成功嵌入了脚本，在用户浏览器中装入页
面时将执行该脚本。


解决方法：编写拦截器处理跨站字符转义。