AppScan 最新版本规则逆向方法

原创 已于 2023-05-19 20:48:16 修改 · 835 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全 #安全性测试 #web安全

于 2023-05-19 20:46:48 首次发布
本文介绍了如何使用dnSpy工具逆向分析Appscan的安全扫描规则，特别是针对特定问题如‘未授权的PL/SQL’管理页面访问的规则查找。通过定位变体ID，打开XsrSecOps.dll文件，可以查看和理解Appscan的扫描规则。 
截止成文Appscan的最新版本为 10.2.0（28254）

引子
最近公司内有项目在验收卡在Appscan扫描不通过为上，项目团对搞了一个月无果，故拉笔者一起分析一下，笔者看了之后初步判断修改方式没有问题，但是又分析不出原因，故引发逆向Appscan规则想法。所以对Appscan进行了一波逆向研究，下面直接介绍规则查看方法；

准备工作

1、下载dnSpy，因为Appscan使用C#编写，所以使用dnSpy做逆向较为方便
2、安装一个你准备分析的Appscan

逆向方法

1、确定未通过测试内容的ID
比如笔者随便找的一个问题“未授权的 PL/SQL ” 管理页面访问，记录其变体ID“cwvOracleDADadmin”
在这里插入图片描述

2、打开扫描规则文件
笔者经过分析发现，Appscan的主要扫描规则文件为XsrSecOps.dll，大家在查看时直接用dnSpy，打开XsrSecOps.dll文件即可

![[Pasted image 20230519202205.png]]

3、检索对应变体ID
①、点击SecurityRules，
②、按住cttl+F
③、输入cwvOracleDADadmin

![[Pasted image 20230519203757.png]]

4、规则查看
点击第三部选择的文件，进入规则，查看规则文件即可
![[Pasted image 20230519204144.png]]

软件测试的基本理论-安全测试-4
weixin_42914706的博客
06-03 1240
安全测试贯穿整个软件生命周期：风险分析、静态分析、渗透测试属于安全测试范畴；安全测试需要转换视角，改变测试中的模拟对象；1） 测试目标不同普通测试：以发现bug为目的安全测试：以发现安全隐患为目的2）假设条件不同普通测试：假设导致问题数据是用户不小心造成；接口一般只考虑用户界面，安全测试：假设导致问题的数据是攻击者处心积虑构造的，需要考虑所有可能的攻击途径；3）思考域不同普通测试：系统的功能作为思考域。
网络安全方向相关课题和材料
全网120W+关注AI拉呱，专注人工智能以及科技前沿！
10-30 1722
搜集大量网络安全行业开源项目一个是关注互联网企业/团队的安全开源项目，经企业内部实践，这些最佳实践值得借鉴。一个是来自企业安全能力建设的需求，根据需求分类，如WAF、HIDS、Git监控等。这个收集是一个长期的过程，我在GitHub创建了这个项目，专门用来收集一些优秀的甲方安全项目。还有很多很好的免费开源项目可供选择，下面列出的还只是其中很少的一部分，我将持续更新这个项目，欢迎Star。
安全测试漏扫工具-HCL AppScan-10.5.0(28368)-2024年4月-下载
04-12
已自测安装可用。 # 安装方法 首次安装好后，不要运行程序的情况下： 只需要将“补丁”中两个dll文件，放到安装后的软件的根目录中即可使用！ # 版本历史 ## 2024年4月3日：10.5.0 ### HCL AppScan Standard 10.5.0中的新增功能 重新设计了AppScan Connect - AppScan Enterprise界面，以允许立即或延迟扫描执行以及选择扫描方法的能力。 能够轻松地将完整的测试列表（不包括变体）从测试策略导出到 CSV 文件，无论测试是否启用。 问题视图中的高级搜索：通过在请求/响应或问题表中搜索特定字符串，轻松浏览数据。 添加了新的测试策略： OWASP 十大 API 安全风险 – 2023 年 OWASP 前 10 名 – 2021 ### 更新的监管合规报告： 2023 年 OWASP API 安全 10 强 [美国] DISA 的应用程序安全和开发 STIG。 V5R3 CWE 2023 年 25 个最危险的软件弱点 支付卡行业数据安全标准 (PCI DSS) - V4 ### 修复和
漏洞扫描之web扫描——APPscan软件的使用
weixin_46248422的博客
06-20 1078
1.首先在虚拟机上准备一个测试网站：
AppScan的最新版安装
Ethan_cfq的博客
11-23 1362
AppScan的最新版安装 大家好，今天的文章主要阐述AppScan的最新版本的安装。本人是一次性安装成功的。（不喜勿喷！！！） 下载安装AppScan软件包 为支持国家知识产权，严禁使用盗版软件. 请到AppScan相关官网进行下载 也可去gethub中下载 下载后的压缩文件 对文件进行解压 此时我们点击AppScan_1006.exe文件安装AppScan。 选择安装语言 点击我同意或“I accept the terms in the license agreement”后，后点击下一步 选择
最新版AppScan9.0.3.12破解版（含最新补丁）
05-16
安装说明： 1、双击9.0.3.12-AppScan_Setup.exe进行安装； 2、安装完成先不要打开，双击更新补丁包9.0.3.12_iFix001-Update.msp进行升级； 3、找到文件的安装目录，将LicenseProvider.dll破解文件，复制到安装目录下并替换原文件。
漏洞扫描工具AppScan最新版本AppScan 10.6.0新增功能介绍
最新发布
daopuyun的博客
11-12 1362
软件测试实验室在申请软件检测CNAS认可等相关资质，或者软件开发组织组建软件测试团队时，通常需要采购漏洞扫描工具来支持软件安全测试工作的开展。AppScan就是一款经常被纳入采购计划的漏洞扫描工具，近日，该工具发布了最新版本AppScan 10.6.0。本文我们一起来看一下AppScan 10.6.0标准版有哪些新增功能。
appscan最新版授权文件
07-31
AppScan_Std_9.0.3.6_Eval_Win，版的授权文件，把dll拖到安装文件夹即可 。
【AppScan】2024年9月 AppScan 10.6.0最新版附下载安装教程
qq_43355651的博客
08-28 4156
APPSCan
安全扫描工具HCL AppScan最新版本10.0.7
06-01
亲测可用，可用于web应用安全扫描，规则库28150
安全测试漏扫工具-HCL AppScan最新版本-10.0.7(28150)-2022年7月-appscan28150下载
07-09
安全测试漏扫工具_HCL AppScan最新版本_10.0.7(28150)_2022年7月
安全测试漏扫工具-HCL AppScan最新版本-10.0.8(28186)-2022年8月-appscan28150下载
08-05
自测可用！！！！！ 安全测试漏扫工具_HCL AppScan最新版本_10.0.8(28186)_2022年8月_appscan28150下载
安全测试漏扫工具_HCL AppScan最新版本_10.0.8(28186)_2022年8月_appscan28150下载
08-29
安全测试漏扫工具_HCL AppScan最新版本_10.0.8(28186)_2022年8月_appscan28150下载 AppScan_Standard_v10.0.8
最新IBM AppScan 9.0.3.7 ifix005 update
03-15
最新的基于IBM AppScan 9.0.3.7版本的 ifix005 update，包含规则库升级和问题修复
AppScan10.0安装使用手册2020版.pdf
08-07
一款Web应用安全测试工具,采用黑盒测试的方式,可以扫描常见的web应用安全漏洞。AppScan10.0安装使用手册，最新版。从安装配置使用到手动探索，全程挖漏洞，轻松简单。
漏洞挖掘与工具
代码审计
04-09 4657
一、漏洞挖掘 1. 安全的木桶理论 找到最薄弱的那个点； 有一个漏洞的站点，很可能还会有更多的漏洞 开发人员的安全意识问题； 存在于一个站点的漏洞，还可能存在于其他站点 业务的代码复用； 通用型漏洞（wordpress插件漏洞，Discuz 更新不及时）； 修复了的漏洞不一定就全部修复完整了 指哪修哪； 绕过修复； 学会找扫描器扫不到/其他白帽子难发现的漏洞 需要深度交互/认证； 存储XSS/CSRF/越权/逻辑漏洞； 挖掘漏洞的过程 通常需要先找到危险函数，然后回溯函数的调用过程，最终
网络安全入门相关名称概念
张有泽的博客
06-23 946
IPS是对防病毒软件和防火墙的补充，入侵预防系统是一部能够监视网络或网络设备的网络资料传输行为的计算机网络安全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。PKCS#7：定义一种通用的消息语法，包括数字签名和加密等用于增强的加密机制，PKCS#7与PEM兼容，所以不需其他密码操作，就可以将加密的消息转换成PEM消息。依照一定的安全策略，通过软件、硬件、对网络、系统的运行状况进行监视尽可能的发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
软件测试
weixin_45494375的博客
03-04 726
软件测试基础笔记 第一节 软件测试的概念及分类 1、软件测试概念：通过人工或自动手段对软件进行功能、性能、接口、安全、数据库、底层架构等进行深入、全方位测试的工作，全面保障软件质量能满足用户需求。 2、软件测试的法则：1功2可3易4效5维6移 案例：桌子 电梯 水杯 3、软件测试的目的： 1、测试是为了发现系统中的错误而执行程序的过程 2、好的测试方案在于尽可能发现迄今为止尚未发现的错误 3、成功的测试是为了发现至今为止尚未发现的错误的测试 4、软件测试的原则： （1）所有的软件测试都应追溯到用户需求 （2
Web安全和渗透测试有什么关系？
Python_0011的博客
03-31 3844
做渗透测试的一个环节就是测试web安全，需要明白漏洞产生原理，通过信息收集互联网暴露面，进行漏洞扫描，漏洞利用，必要时进行脚本自编写和手工测试，力求挖出目标存在的漏洞并提出整改建议，当然如果技术再精一些，还要学习内网渗透（工作组和域环境），白盒审计，app，小程序渗透那些了......可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。总之，web安全包含于渗透测试，但不是渗透测试的全部。
全面探索IBM AppScan安全扫描工具的最新版本
资源摘要信息:"IBM AppScan 是一款由IBM公司开发的web安全扫描工具，主要用于网站安全渗透测试。该工具采用爬虫技术，可以自动地对网站的链接进行安全扫描。扫描结束后，会生成扫描报告并提供修复建议。 AppScan 的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

方寸明光

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值