Web端安全测试-AppScan

1、AppScan是什么？

    AppScan是IBM的一款web安全扫描工具，可以利用爬虫技术进行网站安全渗透测试，根据网站入口自动对网页链接进行安全扫描，扫描之后会提供扫描报告和修复建议等。

    AppScan有自己的用例库，版本越新用例库越全（用例库越全面，对漏洞的检测较全面，被测试系统的安全性则越高）

1.1工作原理

（1）通过探索了解整个web页面结果
（2）通过分析，使用扫描规则库对修改的HTTP Request进行攻击尝试
（3）分析 Response 来验证是否存在安全漏洞

1.2 AppScan的工作过程阶段

主要会涉及三个阶段

阶段一	爬行网站，访问网站的所有页面，从而确定网站的一个整体架构，这里的架构只所所有代码架构，包含前端的页面代码和后台的页面代码。
阶段二	得到网站架构后，对网站发起访问请求，并使用AppScan的规则库里的规则对测试对象发起模拟攻击，这个测试并不需要用到服务器的权限，等同于“黑盒扫描”
阶段三	对测试对象发起攻击后，服务器会给出相应的返回，得到返回数据，AppScan会对攻击后的反馈数据与正常的访问返回数据进行对比，在根据自身的规则库进行对比，从而得分析是否存在安全漏洞，并从规则库中申请相应的修改建议。

2、工具的操作步骤

2.1 基本思路：自动探索--特殊配置--手动探索--仅测试--导出报告

2.2 AppScan下载安装

     见附件Appscan中文网站 (zbwlkj.cn)