IBM測(cè)試appscan方案教程

IBMAPPSCAN安全測(cè)試工具基礎(chǔ)內(nèi)容概要Watchfire

AppScan是業(yè)界第一款并且是領(lǐng)先的web應(yīng)用安全測(cè)試工具包，也是唯一一個(gè)在所有級(jí)別應(yīng)用上提供全面糾正任務(wù)的工具。AppScan掃描web應(yīng)用的基礎(chǔ)架構(gòu)，進(jìn)行安全漏洞測(cè)試并提供可行的報(bào)告和建議。AppScan的掃描能力，配置向?qū)Ш驮敿?xì)的報(bào)表系統(tǒng)都進(jìn)行了整合，簡(jiǎn)化使用，增強(qiáng)用戶效率，有利于安全防范和保護(hù)web應(yīng)用基礎(chǔ)架構(gòu)。在商業(yè)安全掃描工具中，提供簡(jiǎn)體中文支持的，目前也只有AppScan一個(gè)。內(nèi)容索引系統(tǒng)需求安裝過程許可證安裝簡(jiǎn)單的運(yùn)行安全測(cè)試系統(tǒng)需求安裝RationalAppScan“安裝向?qū)А睍?huì)指導(dǎo)您快速簡(jiǎn)單地完成安裝過程。

許可證安裝由于新版7.8以前的產(chǎn)品的舊格式（.lic）許可證可以繼續(xù)用于新版本的APPSCAN所以可以使用以下方法進(jìn)行破解。解壓AppScan7.8破解.rar

你會(huì)看到:

patch.exe

keygen.exe

如果沒有看到keygen.exe那肯定被你的殺毒軟件給干了.

解壓之前一定要關(guān)掉所有殺毒的（包括關(guān)閉自動(dòng)防護(hù)）.

第一步:

打開patch.exe--->patch--->Cannotfindthefile.Searchthefile?--->是--->(AppScan安裝目錄下)選中engine_control.dll--->OK

第二步:

打開keygen.exe--->在第一個(gè)框TeamEDGE輸入隨便輸入如：keygen--->Generate--->當(dāng)前目錄生成license.lic

第三步：將自動(dòng)生成的license.lic復(fù)制到APPSCAN的安裝目錄下。第四步：打開APPSCAN程序，單擊幫助--->許可證--->裝入舊格式（.lic）許可證成功后可以看到顯示：許可證：舊許可類型：EnterpriseEdition安全測(cè)試基本工作流程掃描的原則掃描的原則“Appscan全面掃描”包含兩個(gè)階段：探索和測(cè)試。探索階段在第一個(gè)階段里，appscan會(huì)通過模仿成web用戶單擊鏈接并填寫表單字段來探索站點(diǎn)（web應(yīng)用程序或webserver）這就是探索階段。探索階段可以遍歷每個(gè)URL路徑，并分析后創(chuàng)建測(cè)試點(diǎn)。測(cè)試階段“測(cè)試”期間，appscan會(huì)發(fā)送它在“探索”階段創(chuàng)建的成千上萬個(gè)定制的測(cè)試請(qǐng)求，通過你定制好的測(cè)試策略分析每個(gè)測(cè)試的響應(yīng)，最后根據(jù)規(guī)則識(shí)別應(yīng)用程序中的安全問題，并排列這些安全問題的風(fēng)險(xiǎn)級(jí)別。啟動(dòng)AppScan應(yīng)用程序，顯示主窗體

嘗試一次簡(jiǎn)單的安全測(cè)試菜單欄：涵蓋了AppScan中的所有可用功能工具條：常用功能的快捷菜單，如開始掃描、掃描配置、掃描專家等左上部網(wǎng)站導(dǎo)航視圖（應(yīng)用程序樹）：在掃描過程中AppScan會(huì)按照一定的層次組織顯示站點(diǎn)結(jié)構(gòu)圖（默認(rèn)是按照URL層次進(jìn)行組織，用戶可以在掃描配置中更改這一設(shè)置）右上部安全問題顯示視圖（結(jié)果列表）：AppScan將在此視圖中列出檢測(cè)到的所有安全缺陷左下部安全問題匯總視圖（儀表板）：AppScan將在此視圖中列出檢測(cè)到的安全缺陷統(tǒng)計(jì)信息右下部安全問題詳細(xì)信息視圖：此視圖的內(nèi)容與安全問題顯示視圖相關(guān)，用來顯示某特定安全問題的詳細(xì)信息，包括問題介紹、修復(fù)建議、測(cè)試數(shù)據(jù)等如果你是第一次啟動(dòng)，屏幕中央將會(huì)出現(xiàn)一個(gè)“歡迎”對(duì)話框。在此對(duì)話中，您可以點(diǎn)擊“入門”鏈接，查看IBMRationalAppScan的“新手入門幫助文檔”。也可以點(diǎn)擊“創(chuàng)建新的掃描”來創(chuàng)建您的第一次Web安全掃描任務(wù)。

以下例子將選擇“常規(guī)掃描”舉例，點(diǎn)擊右側(cè)預(yù)定義模板中的“常規(guī)掃描”鏈接，將出現(xiàn)“掃描配置向?qū)А?。這里提供web應(yīng)用程序和webserver的掃描（如果需要webserver的掃描必須先下載）

實(shí)例我們顯示使用IBM提供的測(cè)試Web站點(diǎn)：。使用軟件預(yù)定義的模板，

會(huì)自動(dòng)顯示在“NewScan”對(duì)話框中。點(diǎn)擊URL鏈接后的按鈕可以打開

APPSCAN瀏覽器查看網(wǎng)站是否可以正常連接在彈出登錄提示框時(shí)，用于登錄這一測(cè)試站點(diǎn)的用戶名及密碼為：用戶名（Username）：jsmith密碼（Password）：Demo1234

選擇適當(dāng)?shù)臏y(cè)試策略完成掃描配置向?qū)瓿膳渲煤髥?dòng)掃描專家的話，此時(shí)會(huì)關(guān)閉向?qū)?，并打開“掃描專家”面板，以評(píng)估站點(diǎn)當(dāng)前的配置。自動(dòng)保存執(zhí)行你的第一次Web安全掃描任務(wù)。

在執(zhí)行Web安全掃描任務(wù)的過程中，您可以隨時(shí)查看已經(jīng)檢測(cè)出的Web安全問題。掃描專家評(píng)估完成后，會(huì)顯示所建議的配置更改核實(shí)表。這里要注意的是：如果存在用戶輸入的APPSCAN無法執(zhí)行的更改，那么它們的復(fù)選框會(huì)顯示成灰色且為未選中狀態(tài)，如果要修改這些更改，單擊更改的鏈接Web安全掃描任務(wù)完成?！敖Y(jié)果傳家”通常在全面掃描之后自動(dòng)運(yùn)行，但是它也可以在全面或部分掃描結(jié)果上隨時(shí)手動(dòng)運(yùn)行。如果測(cè)試時(shí)間有限的話，如果結(jié)果數(shù)量很大的話你可以決定不適用“結(jié)果專家”。“安全報(bào)告”會(huì)提供掃描期間發(fā)現(xiàn)的安全問題信息。1.在工具菜單上，單擊報(bào)告，然后選擇安全報(bào)告。2.選擇模板：管理綜合報(bào)告、詳細(xì)報(bào)告、修復(fù)任務(wù)、開發(fā)者、