安全测试原则

原则重要！！！！！

appscan扫描系统的过程中会出现很多垃圾数据

需要一个独立的接近生产环境的测试环境

appscan等扫描软件在运行过程中会生成大量垃圾数据，需要一个独立的接近生产环境的测试环境。

注意事项！！！

1. AppScan扫描过程中，会向服务器发送较多请求，会占用一定的正常请求访问的资源，可能导致一些垃圾数据，建议只在本地测试环境执行
2. 使用AppScan之前，请提前备份好数据库的数据，假若扫描致使服务器异常关闭，则需重启服务；若扫描产生的请求数据过多，或Web程序出现异常，可能需要从备份数据恢复还原。一般情况下，正常扫描Web程序很少可能出现Web服务异常的情形
3. AppScan扫描配置时，有区分为Web Application（Web应用程序）和Web Service（Web服务）的扫描方向。若只对Web程序本身的漏洞检测，就选Web Application扫描即可；若选择Web Service扫描，则需提前告知服务器维护的负责人，建立异常情况发生的处理机制，最好避开访问请求的高峰or办公人员集中使用的时间，比如下班后自动扫描
4. AppScan扫描的结果并不代表完全真实的情况，受限于所用扫描器版本的漏洞规则库的规则，以及操作者的配置策略，扫描过程中有可能会使得扫描器出现误判or漏测。如有必要，还需对扫描的结果进行人工校验，可对同一Web应用分次进行扫描对比差异性
5. 扫描配置时，一般按照默认的测试策略-WASC威胁分类即可；若服务器本身所能承受的性能压力不强，or存在较多漏洞的时候，不宜选择“侵入式”策略，该策略存在着可能会入侵服务器、关闭服务、破坏数据库等风险
6. 使用破解版的AppScan扫描Web应用时，若Web网站本身结构比较复杂、模块众多、涉及的url数目巨大（几万-十多万），则不宜一次性全站扫描，有可能连续扫描几个小时都不能探索完网站的所有结构。持续时间过长还可能造成AppScan出现卡顿，显示“正在扫描中”，但实际上已经没有继续再扫描。因此，当第一次探索了大概的网站结构和容量之后，若容量巨大，最好分而治之，按模块结构分次进行扫描测试
7. 在APPScan扫描结果基础上，根据不同的严重级别进行排序、手工+工具验证的方式对漏洞验证可靠性，排除误报的情况，并尽可能找出漏报的情况，把本次扫描结果汇总，对以上已验证存在的安全漏洞排列优先级、漏洞威胁程度，并提出每个漏洞的修复建议