安全测试工具appscan的安装与使用_第1页
安全测试工具appscan的安装与使用_第2页
安全测试工具appscan的安装与使用_第3页
安全测试工具appscan的安装与使用_第4页
安全测试工具appscan的安装与使用_第5页
已阅读5页，还剩20页未读， 继续免费阅读

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

1、一、为什么要有安全性测试？ 1.关于数据库。SQL盲注高手可能会通过盲注让数据库中的相关信息。 2.关于权限。不同身份的人有着不同的权限，如淘宝卖家和买家。如果不进行安全测试，可能会使买家跳出权限做卖家的事。二、AppScan IBM Rational AppScan Standard Edition 是一种自动化 Web 应用程序安全性测试引擎，能够连续、自动地审查 Web 应用程序、测试安全性问题，并生成包含修订建议的行动报告，简化补救过程。 在商业安全扫描工具中，提供简体中文支持的，目前也只有AppScan一个。 下载：51testing三、软件安装 1.可能需要联网下载必要的插件 2.

2、基本可以按安装向导进行，需要注意的是最后安装完成后需要将安装包中的“LicenseProvider.dll”复制粘贴到appscan安装路径“.IBMAppScan Standard”目录下同名文件，否则在使用时一直会提示安装许可证，导致软件无法正常使用四、使用打开appscan出现如下所下界面，选择“创建新的扫描”2.选择常规扫描3.选择“下一步”4.输入要扫描的网站URL，点击“下一步”5.登录管理。选择“记录”，点击“下一步”6.选择是“是”7.测试策略。我选择的是“缺省值”补充：各类策略的说明8.完成配置向导。选择“启动全盘扫描”9.自动保存10.软件界面初步探测完成，接下来继续进行全

3、盘扫描继续全盘扫描 扫描完成后可打印安全报告。“安全报告”会提供扫描期间发现的安全问题信息。 我们可以通过最后的扫描结果和安全报告了解到存在的问题及问题介绍等信息。一个检测SQL注入的工具：pangolin注入往往是应用程序缺少对输入进行安全性检查所引起的，攻击者把一些包含指令的数据发送给解释器，解释器会把收到的数据转换成指令执行。常见的注入包括SQL注入，OS Shell，LDAP，Xpath，Hibernate等等，而其中SQL注入尤为常见。这种攻击所造成的后果往往很大，一般整个数据库的信息都能被读取或篡改，通过SQL注入，攻击者甚至能够获得更多的包括管理员的权限。在中输入site: in

4、url:login 关键字搜索得到后台的URL，如下图所示一个存在SQL注入点的页面进入后的页面根据下图标注，可以猜出其大概SQL语句类似于SELECT *FROM users where username=? AND password=? 类似于上述的验证语句是很危险的，因为可以通过构造特殊的变量值使得该查询条件表达式永远为真。Eg：输入如下的内容Username: admin OR1Password: test OR1此时再次登录，也会成功登录进入网站后台，如下图所示分析登陆成功的原因是因为验证SQL变成Select *from users where usrname=admin OR 1 and pa

人人文库> 全部分类> 教育资料 > 备课教案

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论