利用Appscan对REST Web service进行安全扫描

        近年来 Web 服务应用日趋广泛，人们往往利用 Web 服务集成不同平台的应用程序，或是将公共服务通过服务接口暴露给外部用户使用。这样便为黑客利用 Web 服务攻击企业应用提供了可乘之机。本文主要介绍如何利用 Rational AppScan 检测 Web 服务的安全漏洞。

目前使用的Web service主要为基于SOAP协议和基于REST架构，而基于REST架构越来越受到欢迎。众所周知，Rational AppScan的GSC为SOAP类型的web服务安全扫描提供了很好的解决方案，这里不再介绍。

对于REST类型的web服务，通过解读IBM的官方文档，可以知道主要有两种方法：

1. 对调用服务的应用程序进行手工探索调用该服务，从而进行安全扫描；
2. 利用代理使用“外部流量/客户机”进行安全扫描。

对于第1点只需要按正常的应用程序扫描对调用服务的应用进行扫描即可，但是需要确认调用服务的功能，以便进行手动探索。这里调用服务的应用既可以是页面的应用也可以是移动电话等设备的app。见图1，图2

                                          &nb