AppScan 在 API 安全测试中的实例介绍 在本项目中,API 遵循标准的的 REST 架构和背端服务器进行通信.针对 API 的功能测试由两部分组成:一部分是用一个 Web 的测试页面直接实现的,另一部分,由于 Web 页面的局限性(比如不能任意修改 HTTP header),所以是通过 Shell 脚本调用 curl 实现的. 并且这个 API 的测试环境没有固定的域名和 IP 地址.针对 Web 应用的安全测试采用 AppScan Standard.项目实施过程中面临这样几个问题:…

最近在修复系统漏洞时,使用新版AppScan扫描IIS站点(WebForm)出现一个严重漏洞“已解密的登陆请求”. 扫描工具修复的建议为在登陆界面不使用含“password”类型的控件或加密录入参数. 按其所给的建议,我做了如下修改:将password控件修改为textbox控件.使用js替换输入的内容.并将录入的结果录入到隐藏控件中提交时去隐藏控件的值. 修改后部署更新站点重新扫描并不能解决问题. 通过百度.bing等搜索工具找了一下两个解决方案: 1.站点登陆采用ssl方式 2.对登陆请求的…

转载:http://www.cnblogs.com/fnng/archive/2012/10/09/2717568.html 这里主要分享如何使用AppScan对一大项目的部分功能进行安全扫描. ------------------------------------------------------------------------ 其实,对于安全方面的测试知道的甚少.因为那公司每个月要求对产品进行安全扫描.掌握了一人点使用技巧,所以拿来与大家分享. 因为产品比较大,功能模块也非常之多,我…

Cisco有专门的网页版的AppScan,使用前需要向有关的team申请account和权限. account和权限申请成功后,登录AppScan网站,创建自己的文件夹目录,然后在自己的目录下新建scan项目. 需要注意的是,如果你要测试的网站需要用户名密码登录,需要在advanced scan configuration->login management里设置登录用的用户名.密码. 1. 一般可以选择automatic,然后输入登录用的用户名.密码.AppScan定义好了一些正则表达式去读取…

简介:IBM AppScan该产品是一个领先的 Web 应用安全测试工具,曾以 Watchfire AppScan 的名称享誉业界.Rational AppScan 可自动化 Web 应用的安全漏洞评估工作,能扫描和检测所有常见的 Web 应用安全漏洞,例如 SQL 注入(SQL-injection).跨站点脚本攻击(cross-site scripting).缓冲区溢出(buffer overflow)及最新的 Flash/Flex 应用及 Web 2.0 应用曝露等方面安全漏洞的扫描. 下载…

在使用appscan扫描时,自带浏览器可能存在兼容性问题(比如HTML5),故需要用到其他浏览器.在做139邮箱HTML5项目,需要使用chrome浏览器进行扫描.因此分享下如何使用外部浏览器,将之前笔记整理文字内容贴出供大家参考. 场景一:AppScan标准版本8.0.0.3或更高版本设置 第一步:配置使用浏览器 a.[工具]>[选项]>[高级]> OpenExternalBrowser b.OpenExternalBrowser值:0=AppScan的浏览器(默认值),1=IE浏览器…

问题描述: ​ 解决方法: 1.Server 2008(R2) 根据appScan的修订建议访问地址:http://msdn.microsoft.com/en-us/library/windows/desktop/bb870930(v=vs.85).aspx 里面说了如何修改SSL 密码套件的优先级和状态,里面有一堆的加密方式,很难知道哪些该保留,哪些改去掉(其实AppScan里面已经有提示哪些该去掉): 经过一番资料查找,有一个名叫IIS Crypto的软件工具,专门用来解决上面的问题: 软件…

AppScan学习笔记 http://www.docin.com/p-777386896.html…

因为appscan在新建扫描任务的时候只能输入一个target,并且没有awvs/nessus那样提供web接口,导致我以前一直以为appscan不能像awvs那样批量建立任务自动扫描. 不过,今天要分享的一点经验只是实现简单的appscan自动化扫描. 其实很简单,appscan的GUI界面新建扫描任务时虽然只能指定一个target,并且也没有提供类似awvs/nessus的web接口,但是它提供的有一个“AppScanCMD.exe”. 厂商把这个小工具提供出来的意思可能就是方便用户在命令行…

Appscan的强大众所周知,如果可以自动执行定期安全测试,岂不是美事一件? 事实上,appscan提供了计划扫描的选项,配合windows的计划任务,可以按需设定. 1.打开appscan中的“工具”-->“扫描调度程序”,新建: 2.填写好相应的设定后,点击确定保存. 3.Appscan只提供了打开“控制面板”中的“计划任务”.我们可以利用windows的计划任务进行调整. 4.找到刚才新建的计划任务,右击查看属性. 5.点击“计划”选项卡,编辑当前任务属性,可以调整任务执行的月份,从而实现…

从 AppScan Source V8.8 开始,不再支持以下操作系统: Microsoft Windows XP Microsoft Windows Server 2003,所有版本和修订版   此外: Visual Studio 2005 项目文件不再受支持,而且 AppScan Source for Development(Visual Studio 插件) 不再能适用于 Visual Studio 2005. Eclipse V3.3.V3.4 和 V3.5 项目文件和工作空间不再受支持…

[AppScan]修复漏洞一:启用不安全的HTTP方法 (中) 漏洞背景:      “启用了不安全的 HTTP 方法”属于“中”危漏洞.漏洞描述是:根据APPSCAN的报告,APPSCAN通过OPTIONS请求,当响应中发现DELETE.SEARCH.COPY等方法为允许方法时,则认为是漏洞. 修改建议:可采用3种方法:1.禁用WebDAV功能,能根本解决.不引入新的不稳定因素2.使用URLSCAN禁用OPTIONS,实际没有真正禁用,但缩小了影响范围.URLSCAN可能有副作用.3.使用UR…

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中此篇文章是关于发现数据库错误模式问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:SQL注入 原因:未对用户输入正确执行危险字符清理 安全性风险:可能会查看.修改或删除数据库条目和表 受影响产品:该问题可能会影响各种类型的产品. 引用:…

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中此篇文章是关于链接注入问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:内容电子欺骗 原因:未对用户输入正确执行危险字符清理 安全性风险:■ 劝说初级用户提供诸如用户名.密码.信用卡号.社会保险号等敏感信息■ 可能会窃取或操纵客户会话和…

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中此篇文章是关于会话标识未更新问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:会话定置 原因:Web 应用程序编程或配置不安全 安全性风险:可能会窃取或操纵客户会话和cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看…

最近工作要求解决下web的项目的漏洞问题,扫描漏洞是用的AppScan工具,其中有很多是关于跨站点脚本编制问题的.下面就把这块东西分享出来. 原创文章,转载请注明 -----------------------------------------正题------------------------- 测试类型:应用程序级别测试 威胁分类:跨站点脚本编制 原因:未对用户输入正确执行危险字符清理 安全性风险:可能会窃取或操纵客户会话和cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份…

这里主要分享如何使用AppScan对一大项目的部分功能进行安全扫描. ------------------------------------------------------------------------ 其实,对于安全方面的测试知道的甚少.因为那公司每个月要求对产品进行安全扫描.掌握了一人点使用技巧,所以拿来与大家分享. 因为产品比较大,功能模块也非常之多,我们不可能对整个产品进行扫描.再一个每个测试员负责测试的模块不同.我们只需要对自己负责测试的模块扫描即可. 扫描工具自然是IBM…

安全测试应该是测试中非常重要的一部分,但他常常最容易被忽视掉. 尽管国内经常出现各种安全事件,但没有真正的引起人们的注意.不管是开发还是测试都不太关注产品的安全.当然,这也不能怪我们苦B的“民工兄弟”.因为公司的所给我们的时间与精力只要求我们对产品的功能的实现以及保证功能的正常运行.一方面出于侥幸心理.谁没事会攻击我? 关于安全测试方面的资料也很少,很多人所知道的就是一本书,一个工具. 一本书值<web安全测试>,这应该是安全测试领域维数不多又被大家熟知的安全测试书,我曾看过前面几个章节,唉,…

一.操作前提 1.首先下载Appscan的安装包 2.安装Appscan 二.操作流程 1.双击图标,打开Appscan软件 2.打开软件后,页面显示如下: 3.选择“文件-新建”,弹出如下的窗口: 4.点击“常规扫描”,页面如下: 5.选择“Appscan(自动或手动)”,点击下一步,如图: 6.在“起始URL”处输入将要扫描的系统的URL,点击下一步,如图: 7.选择“自动”,输入用户名和密码,如图: 8.点击下一步,如图: 9.默认,点击下一步,如图: 注:一般常用的是“启动全面自动扫描”…

1. SQL注入文件写入(需要用户验证) 解决办法:通过建立过滤器方法,对所有用户输入信息进行清理过滤.通过清理过滤用户输入所包含的危险字符,便可能防止恶意的用户导致应用程序执行计划外的任务,例如:启动任意 SQL 查询.嵌入将在客户端执行的Javascript代码.运行各种操作系统命令等. 建议过滤出所有以下字符: [1] |(竖线符号) [2] &(&符号) [3];(分号) [4] $(美元符号) [5] %(百分比符号) [6] @(at 符号) [7] '(单引号) [8] &q…

一. 环境准备 测试通常给的是PDF文档,动辄几百页,看起来很费劲,看文档的时间可能比解决问题的时间还长...所以作为需要解决问题的我们来说,最好安装AppScan,请测试人员提供类型为AppScan Scan File的文件.(图片模糊掉了URL,不影响问题分析)  二. 如何分析AppScan扫描出的安全性问题AppScan扫描出的问题会一般按照严重程度分高,危,参三种类型,高危属于必须要解决的问题:低危一般属于config配置,或IIS配置问题:低的问题,一般也可能是高,低的衍生问题,高危…

AppScan在项目中的使用流程 http://www.docin.com/p-829022229.html…

对比AppScan Source和Fortify扫描AltoroJ的结果: http://blog.csdn.net/testing_is_believing/article/details/19633497…

appscan 安全漏洞修复办法http://www.automationqa.com/forum.php?mod=viewthread&tid=3661&fromuid=21…

IBM发布AppScan Source 8.7:减少iOS企业级应用安全风险http://automationqa.com/forum.php?mod=viewthread&tid=2570&fromuid=21…

最近对于系统使用Appscan扫描出中危漏洞“启用不安全的HTTP方法,找了很多修复方法都不能达到效果. 漏洞截图: 漏洞描述: 危险级别   中危险 影响页面   整个WEB页面. 简短描述   管理员在服务器安全配置上的疏忽,导致服务器上启用了不安全的HTTP方法. 详细描述   不安全的HTTP方法主要有PUT/DELETE/MOVE/COPY/TRACE,通过此类扩展方法,可能上传文件到服务器或删除服务器上的文件. 修补建议   禁止不必要的 HTTP 方法(动词TRACE). 存在页面…

Rational AppScan 工作原理 Rational AppScan(简称 AppScan)其实是一个产品家族,包括众多的应用安全扫描产品,从开发阶段的源代码扫描的 AppScan source edition,到针对 Web 应用进行快速扫描的 AppScan standard edition,以及进行安全管理和汇总整合的 AppScan enterprise Edition 等.我们经常说的 AppScan 就是指的桌面版本的 AppScan,即 AppScan standard e…

AppScan主要作用是对页面进行安全扫描的工具…

Web 应用的基础概念 在讨论 Web 应用安全之前,先简单介绍一下 Web 应用基础概念,这样便于理解为什么 Web 应用是脆弱的,容易受到攻击. 1. 什么是 Web 应用 Web 应用是由动态脚本.编译过的代码等组合而成.它通常架设在 Web 服务器上,用户在 Web 浏览器上发送请求,这些请求使用 HTTP 协议,经过因特网和企业的 Web 应用交互,由 Web 应用和企业后台的数据库及其他动态内容通信. 2. Web 应用的架构 尽管不同的企业会有不同的 Web 环境搭建方式,一个典型…

一.打开AppScan,选择外部设备/客户机,点击下一步 二.记录代理设置,可以手动输入需要的端口号,也可以自动选择,记住端口号以及PC电脑的ip地址,手机端如何设置对应的端口跟ip可以参考 Jmeter(十三)用Jmeter自带录制工具代理录制手机端应用脚本APP脚本,原理是一样的 三.SSL证书,点击下一步 四.登陆管理,点击下一步, 选择"是" 五.选择测试策略,点击下一步 六.完成扫描配置向导 点击完成之后,会弹出录制窗口 七.外部流量记录器 这个时候,可以操作外部机器对需要扫…