GlassBox介绍

GlassBox

Glass box Scanning是Appscan引入的一个新的功能,代理将被安装在服务器上,这有助于扫描找到隐藏的URL和其它的问题.

1.    功能和特点

对正在发生的事情捕捉更多的方面（例如，堆栈跟踪和参数），尤其是异常

监测最高级别的资源信息（例如，总共花费的时间，要求服务或连接到数据库）

监测更多的业务，资源，如JMS和EJB组件，XML处理

处理分布式监测，跟踪信息，集群应用及相关资料分发

利用Java 5的管理信息，如CPU的时间或线程的具体统计数字

使用应用服务器JMX统计信息，如线程池

捕捉历史和趋势，持久存储和报告

利用JMX提供警示和揭露统计摘要

自适应发现相关参数跟踪（例如，未知的数据库查询或Servlet的请求）

为更高级别的数据库和服务访问框架提供资源监测（如Hibernate，TopLink，持久性EJB等）

允许不同的数据量抽样抓获

监控系统事件，如Web应用程序404错误的请求

提供不同程度的统计汇总（例如，直方图）

监测商业活动，如客户购买或放弃的购物车

Web 应用通常使用外部的关系型数据库来存储信息。通过在数据库端安装玻璃盒代理，黑盒测试工具即可监控到 Web 应用所执行的 SQL 语句。当黑盒测试工具发送一个 SQL 注入测试变体的时候，玻璃盒代理会分析数据库端实际执行的 SQL 语句，以此判断当前攻击是否成功。如果玻璃盒代理探测到攻击已经成功，它将通知黑盒测试工具，黑盒测试工具从而会报告存在 SQL 注入安全漏洞。请注意，这种判断方法跟基于 HTTP 响应对比的优势：如果 SQL 执行结果没有被回写到 HTTP 响应中，传统上的基于 HTTP 响应分析的方法就不能检测出当前存在 SQL 注入漏洞，而玻璃盒测试方法可以测试成功。此外，玻璃盒代理通过监控数据库端执行的 SQL 语句，可以知道当前 SQL 存在哪些参数，从而通知黑盒测试工具仅对这些参数发送 SQL 注入测试变体。这样就大大降低了无效测试变体的数量，从而提升了整体扫描效率

1.在探索阶段通过检测出代码中不可见的参数和 cookie 信息，探索隐藏的扫描路径，提高扫描覆盖率。

在应用程序中，有一些参数并未暴露给用户，即对用户是"不可见"的，传统的AppScan 运行在客户端，并不能够检测到这些参数，更无法探索到相关的页面。 Glass Box 运行于探索阶段全过程，预定义一些"感兴趣"的方法（如getParameter、Runtime.getRuntime().exec 等），并时刻检测这些方法是否运行，并进而探索出其中的参数，再根据这个参数构造扫描路径。

2.在测试阶段，Glass Box 可增强 AppScan 在各种漏洞类型方面的检测。

GlassBox 通过搜集服务端信息，可减少误报率，增强 AppScan 对各种漏洞类型的检测，主要能够增强 AppScan 对注入攻击、不安全的直接对象引用、安全配置错误和不安全的加密存储等漏洞的检测。通过扫描 AltoroJ 项目可以发现，配置 Glass Box 前，共扫描出了 100 个漏洞；而配置 Glass Box 后，共扫描到了 139 个漏洞；Glass Box 增加了了大约 40% 的漏洞扫描发现数量。

 

2.    技术架构

Glass Box 技术架构图

3.    安装部署

1.  打开文件夹"C:\ProgramFiles (x86)\IBM\Rational AppScan\Glass box"，双击 GB_Java_Setup.exe 程序启动安装。（因为笔者是在本地安装，所以直接执行这个安装程序。如果应用服务器不在本机，则需要将这个文件夹的内容拷贝到应用服务器所在电脑上，确保文件访问权限正常后，再执行这个文件。）

 

TEST/RExen123456

 

Access to glass box agentrequired authentication.
Please use the credentials defined during agent installation.

Authentication failed: Bad credentials

玻璃盒测试技术是 IBM 发布的一项领先混合测试技术，它综合了黑盒安全测试和白盒安全测试的两者之长，克服了传统黑盒安全测试的不足，增强了 AppScan Standard 的探索能力，提高了扫描效率和结果准确性。

 

4.    解决问题

网页输入用户名及密码后，提示Access to glass box agent required authentication.Please use thecredentials defined during agent installation.Authentication failed: Badcredentials

 

分析：

代理程序的用户名和密码分别为安装Glass Box 时设定的用户名和密码，如需要修改密码

  直接修改位于 GBootStrap\WEB-INF 目录下的 users.xml 文件，重启 Tomcat 后生效

‚  可运行 AgentCredentials.bat <username> <password> ，重启 Tomcat 后生效

注：第一种方法验证可以成功

 

http://www.ibm.com/developerworks/cn/rational/r-cn-appscannewglassbox/