【等保工具箱】APPSCAN好用的WEB漏扫工具

1.前言

2.工具安装

2.1 获取安装包资源

2.2 程序安装

双击AppScan_Setup_10.0.0.exe程序

一直下一步安装，直到完成

2.3程序激活

1. 激活补丁替换

将破解补丁文件夹中rcl_rational.dll复制到软件安装目录下替换，【默认路径C:\Program Files (x86)\HCL\AppScan Standard】

2.然后运行软件，点击”帮助-许可证-切换到IBM许可证

3. 选择打开Appscan License Manager，在”许可证配置-节点锁定许可证文件“中AppScanStandard.txt作为许可证

4.至此，该软件成功激活，所有功能全部免费使用

3. 基本使用

3.1 基本原理

对一个综合性的大型网站来说，可能存在成千上万的页面。以登录界面为例，至少要输入用户名和密码，即该页面存在两个字段，当提交了用户名和密码等登录信息，网站需要检查是否正确，这就可能存在一个新的检查页面。这里的每个页面的每个参数都可能存在安全漏洞，可能成为被攻击对象。AppScan正是通过按照设定策略和规则，对Web应用进行安全攻击，以此来检查网站是否存在安全漏洞。

在使用AppScan的时候，通过配置网站的URL网址，AppScan会利用“探索”技术去发现这个网站存在多少个目录，多少个页面，页面中有哪些参数等，即探索出网站的整体结构。通过“探索”可确定测试的目标和范围，然后利用AppScan的扫描规则库，针对发现的每个页面的每个参数，进行安全检查

1）通过“探索”功能，利用HTTP Request和Response的内容，爬行出指定网站的整个Web应用结构

2）AppScan本身有一个内置的漏洞扫描的规则库，可随版本进行更新。从探索出的url中，修改参数or目录名等方式，构造不同的url对照组向服务器发送请求or攻击

3）根据HTTP Response返回的内容，和正常请求所返回的响应作对比，是否产生差异性，而这种差异性又是否符合扫描规则库的设定规则，以此来判断是否存在不同类型的安全漏洞

4）若APPScan可判断存在安全漏洞，则对这些漏洞的威胁风险给出说明，进行严重程度提示，并给出修复的建议和方法，以及漏洞发现的位置提示

3.2 基本使用

1. 双击打开appscan，点击扫描web应用程序

若只对Web程序本身的漏洞检测，就选Web 应用程序扫描即可；若需要对Web服务进行扫描，则选择Web Service

2. 填写URL

在起始url中输入你要扫描web系统的url，若显示已连接到服务器，且点击在浏览器中查看后可打开应用的界面，即可进行安全测试；

备注：由于appscan默认使用appscan IE浏览器，有时存在无反应情况，故可根据测试系统适配的浏览器进行设置，在菜单栏点击工具–》选项–》首选项–》记录并查看浏览器–》appscan Chromium浏览器即可打开；

3. 设置登录管理；（以记录为示例）

1.若登录方法选择“记录”，则可通过界面右侧的“记录（R）”按钮打开APPScan内置浏览器并输入登录信息，内置浏览器会自动关闭，AppScan即可记录该用户名和密码，扫描的时候相当于是已登录此账户的状态进行扫描；【记录登录时可多操作一些菜单或者链接，若时间过短，会话可能检测失败，无法记录上登录信息】

2.若选择“提示”，则根据网站扫描探索过程中需要登录会提示输入登录信息，人工输入正确的账号信息之后继续扫描；

3.若选择“自动”，则填写用户名和密码，APPScan在扫描过程中，会自动使用用户名和密码登录继续扫描；

4.若选择“无”，则不需输入登录账户）

4. 登录管理详细信息，显示刚刚记录的登录信息，点击验证，可对已保存的登录信息进行回放验证

5.测试策略我们一般默认选择缺省值

6.测试优化我们一般默认快速，直接点击下一步

7.点击完成，点击是后等待扫描结束

8.扫描结束后，点击报告，设置导出报告的内容、样式和布局，点击保存报告即可