appscan工具简述.doc_第1页
appscan工具简述.doc_第2页
appscan工具简述.doc_第3页
appscan工具简述.doc_第4页
appscan工具简述.doc_第5页
已阅读5页，还剩1页未读， 继续免费阅读

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

1. appscan是一个web应用安全测试工具。2. web攻击的类型比如：l 跨站脚本攻击：为了搜集用户信息，攻击者通常会在有漏洞的程序中插入 JavaScript、VBScript、 ActiveX或Flash以欺骗用户，达到盗取用户帐户，修改用户设置，盗取/污染cookie，做虚假广告等目的。如注入一个JavaScript弹出式的警告框：alert(1)l 消息泄露：web应用程序在处理用户错误请求时，程序在抛出异常的时候给出了比较详细的内部错误信息，而暴露了不应该显示的执行细节，如文件路径、数据库信息、中间件信息、ip地址等l SQL注入：将SQL命令人为地输入到URL、表格域、或者其他动态生成的SQL查询语句的输入中，完成SQL攻击。以达到绕过认证、添加、删除、修改数据等目的。如sql查询代码为：strSQL=SELECT*FROMusersWHERE(name=+userName+)and(pw=+passWord+);改为：strSQL=SELECT*FROMusersWHERE(name=1OR1=1)and(pw=1OR1=1); 达到无账号密码，亦可登录网站。3. appscan使用步骤：总的来说，就是指定要扫描的URL选择测试策略执行扫描探索执行测试结果分析。1) 选择测试策略，文件新建选择一个模板“常规扫描”2) 出现扫描配置向导页面，这里是选择“AppScan(自动或手动)“，如图：3) 输入扫描项目目标URL，如果只想扫描指定URL目录下链接的话把“仅扫描此目录中或目录下的链接”勾选上。4) 点击”下一步“，选择认证模式，出现登录管理的页面，这是因为对于大部分网站，需要用户名和密码登录进去才可以查看许多内容，未登录的情况下就只可以访问部分页面。这里我选择的第一个，需要点击右边的记录进入浏览器手动登录，让它记录下这个登录信息。5) 点击”下一步“，出现测试策略的页面，可以根据不同的测试需求进行选择，这里的测试策略，先选一个缺省值练练，侵入式慎选。因为侵入式用例里可能有尝试关闭数据库的用例，如果执行通过搞不好会导致系统就瘫痪！缺省值具体是包括哪些，可点击配置查看如下图6) 点击”下一步“，出现完成配置向导的界面，这里使用默认配置，可根据需求更改，如下图：7) 点击”完成“，设置保存路径，即开始扫描，可以让自动扫描，也可以手动探索。8) 打扫完以后就执行测试，选择扫描仅测试9) 测试完成后，查看测试结果，列表出了不同级别的问题，还有修订建议等另外：这里测试web默认选择第一个，如果选择“外部设备/客户机的话，可以把appscan当成抓包工具用。需要在工具选项，里配置
人人文库> 全部分类> 应用文书 > 事务文书

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论