App Scan用法:
 
首先打开IBM Security AppScan Standard 工具
 
点击 创建新的扫描 ->  点击”常规扫描“ ->之后你就会看到如下图:
 
 
这里你可以直接点击 ”下一步“ 或是点击 ”完整扫描配置“
 
先点击 ”完整扫描配置“
 
URL 和服务器
1.在起始URL中输入你要扫描的网站网址
2.你的系统中可能还包括其他的域名可以在这里添加,注意格式要求(不能直接输入整个网址,可以使用fiddler4检测工具 获得系统所访问的地址)
 
点击 登录管理:
如果的你系统刚开始要登录的话这里要进行设置,如果不需要登录直接选择 选中” 无“ 即可。
 
需要登录的话  鼠标移到 ”登录“按钮后点击上图的 ”使用AppScan 浏览器“ 就会根据你的URL 打开登录页面,要你输入账号和密码
(我测试的这个页面没有登录界面) ,当登录成功后点击 ”我已登录到站点“ 按钮,这样就会记录你的登录序列 
 
 
 
记录成功后,点击 标签 ”详细信息“ 可以查看到验证的成果
 
 
环境定义 可以不进行更改 直接默认就好
 
排除路径和文件
有需要的排除的路径和文件 可以在这里添加。(我之前扫描这个系统,有个路径执行saveOrUpdate操作,每次执行到这类路径,扫描就扫不动了,而且总是会session重复登录,之后在这边把它排除掉,扫描速度就提了好多。所以对于那些无关紧要的网址可以在这边排除掉)
 
探索选项  要适当进行修改
 
Glass Box 
 
连接-
通信 和代理
 
 
 
其他的一般情况 就不需要进行设置了,默认就好了。 设置完后你可以导出为模板,以便下次使用。
确定按钮 后 又返回到下图:
 
因为你之前以及设置过了,所以一直点 ”下一步“,
 
点击 完成 后 如果勾选了 扫描专家 ,会先启动 扫描专家 进行扫描优化(我比较烦这个,所以不勾选)
直接进入扫描了。
 
如上图: AppScan 的扫描 分三类:完全扫描 、仅探索、仅测试 
 
如果系统需要扫描的页面或是元素较少 可以直接选中 完全扫描(其实就是探索和测试一条龙服务)
 
如果页面需要扫描的页面和元素比较多时,可以分开来,先探索,探索完成后再进行测试。
 
探索也就是 扫描出整个系统的基本结构和页面。
测试 就是根据你所配置的信息 如测试策略、深度等等 对页面中的元素进行测试 从而得出安全性问题
 
如果只是对系统中某个模板进行 扫描的话,可以 通过 ”手动探索“ 获取需要扫描的指定页面 
 
 
在页面中 点击到你需要测试的模块页面,后单击 ”暂停记录“ 按钮 后关闭页面。
 
 
之后就会打开下面的对话框,里面的url 就是是手动点击页面的 所包含的url连接
 
 
 
扫描完成后可以 生成各种类型的 扫描报告,这个还是不错的,不然要自己去写就太坑了。
 
 
扫描日志:在扫描过程中可以查看扫描的一些信息
 
 
扫描的页面还有许多有用的功能,以及很有帮助的设置,可以去网上查找。
 
扫描的结果截屏:
 
之前 扫描个系统,测试的元素太多,服务器又时常会连不上,花了28个小时。所以合理配置扫描信息还是蛮重要的
 

AppScan--图解Web扫描工具IBM Security App Scan Standard的更多相关文章

  1. IBM Security App Scan Standard 工具的使用

    1.AppScan是什么? AppScan是IBM的一款web安全扫描工具,可以利用爬虫技术进行网站安全渗透测试,根据网站入口自动对网页链接进行安全扫描,扫描之后会提供扫描报告和修复建议等. AppS ...

  2. IBM Security App Scan 资料整理

    转自:http://blog.csdn.net/u013147600/article/details/50002089 这是学习和使用IBM AppScan过程中总结整理的一些资料.   扫描系统操作 ...

  3. IBM Security AppScan Standard WEB扫描工具

    IBM Security AppScan Standard是一款著名的web漏洞扫描工具, 可以设定登录账户,录制登录 扫描完成后可以生成报告,生成的报告非常详细

  4. Arachni web扫描工具

    扫描工具-Arachni from:https://blog.csdn.net/zixuanfy/article/details/52818527 ./arachni_console         ...

  5. web扫描工具-Nikto介绍与使用

    Nikto Perl语言开发的开源Web安全扫描器 web扫描模式:截断代理主动扫描 可以扫描的方面:软件版本搜索存在安全隐患的文件服务器配置漏洞WEB Application层面的安全隐患避免404 ...

  6. nikto for windows(web扫描工具) 使用教程

    本文出处: 欧普软件 ----------------------------------------------------------------------------------------- ...

  7. IBM Security AppScan Glass Box:一种全新的漏洞扫描思想

    IBM Security AppScan Glass Box:一种全新的漏洞扫描思想 Glass Box 是 IBM Security AppScan Standard Edition(以下简称 Ap ...

  8. 小白日记29:kali渗透测试之Web渗透-扫描工具-Vega

    WEB扫描工具-Vega 纯图形化界面,Java编写的开源web扫描器.两种工作模式:扫描模式和代理模式[主流扫描功能].用于爬站.处理表单,注入测试等.支持SSL:http://vega/ca.cr ...

  9. 扫描工具Nikto-安全牛课堂网络安全之Web渗透测试练习记录

    web扫描工具大都支持两种模式:代理扫描和主动扫描 Nikto 扫描内容 扫描软件版本.存在安全隐患的文件.服务器配置漏洞.服务器配置漏洞.web应用安全隐患 常用命令 nikto -list-plu ...

随机推荐

  1. OAuth:Access to shared resources via web applications

    A web application which wants to gain access to shared resources should redirect the user to a page ...

  2. 在linux下创建自定义service服务

    三个部分 这个脚本分为3个部分:[Unit] [Service] [Install]. Unit Unit表明该服务的描述,类型描述.我们称之为一个单元.比较典型的情况是单元A要求在单元B启动之后再启 ...

  3. 点击cell动态修改高度动画

    点击cell动态修改高度动画 效果 源码 https://github.com/YouXianMing/Animations // // TapCellAnimationController.m // ...

  4. java数字转换成文字方法

    public class IntToSmallChineseNumber { public static String ToCH(int intInput) { String si = String. ...

  5. [DEFCON全球黑客大会] CTF(Capture The Flag)

    copy : https://baike.baidu.com/item/ctf/9548546?fr=aladdin CTF(Capture The Flag)中文一般译作夺旗赛,在网络安全领域中指的 ...

  6. Docker存出载入镜像

    镜像的存出和载入 如果你的生产环境不能连通互联网,而你又希望从互联网上获取镜像.你就需要借助 docker save命令,可以将镜像导出为 tar 文件.使用 docker load 命令,可以将ta ...

  7. cross validation笔记

    preface:做实验少不了交叉验证,平时常用from sklearn.cross_validation import train_test_split,用train_test_split()函数将数 ...

  8. protobuf标准消息方法

    protobuf标准消息方法 1.标准消息方法 每个消息类包含一些其他方法允许你检查和控制整个消息,包括: · IsInitialized() :检查是否所有必须(required)字段都已经被赋值了 ...

  9. mac下的docker的Docker.raw占用空间很大?

    如图所示,60G,我的天呢? 其实这个只是系统分配给docker的逻辑硬盘大小,应该是指docker最大可用的硬盘空间,实际占用没有这么大 实际占用大小: 另外: 参考:https://github. ...

  10. spring data jpa 查询No property ... found for...Did you mean '...'?

    原文地址:https://blog.csdn.net/earthhour/article/details/79271816 实体类字段定义: private String sku_no; dao中接口 ...