漏洞扫描----Appscan扫描

1. 工具介绍及安装

• 简介

是全新网络安全漏洞扫描软件，软件可以直接可以对OS命令、SSRF和XXE攻击等漏洞进行检测，使得漏洞检测更加容易，提高漏洞的扫描效率。软件同时支持动态、静态、互动分析三种不同的测试功能，可自动化扫描检测网络或者系统安全漏洞，并采用全新的爬虫技术，能够根据网站入口自动摸取网页链接进行安全扫描，提供了扫描、报告和修复建议等功能。

• 功能特色

        动态分析（“黑盒扫描”）

        这是主要方法，用于测试和评估运行时的应用程序响应。

        静态分析（“白盒扫描”）【代码审计】

        这是用于在完整 Web 页面上下文中分析 JavaScript 代码的独特技术。

        交互分析（“glass box 扫描”）

        动态测试引擎可与驻留在 Web 服务器本身上的专用 glass-box 代理程序交互，从而使软件能够比仅通过传统动态测试时识别更多问题并具有更高准确性。

        软件的高级功能包括：

        常规和法规一致性报告，并提供超过 40 个不同的开箱即用模板

• 扫描流程

        扫描配置→探网→测试→结果

• 扫描方式

        Static： 静态分析 （白盒扫描） 源码分析：支持（Taint analysis\pattern matching）

        Dynamic： 动态分析 （黑盒扫描）

        Hybrid：混合分析（黑，白）【知道源代码】

        Run-Time： 运行时分析（玻璃盒）【不知道源代码】

        Client-Side：客户端分析(Javascript)

• 安装与破解

        下载链接：https://pan.quark.cn/s/c7125d04c2ed

•         选择语言：

        破解：

.        将破解文件 AppScanSDK.dll 和 HclLicenseProvider.dll 拷贝到安装目录\AppScan Standard下替换原来的文件

接下来开始运行就好了

 

2. Appscan扫描web程序

• 点击扫描web程序

• 输入url点击下一步

• 选择【无】,点击【下一步】

• 选择【缺省值】测试策略，点击【下一步】

• 选择【无优化】，点击下一步
• 

• 选择【启动扫描】，选择【完成“扫描配置向导”后启动“扫描专家”】，点击【完成】

• 扫描网站(登陆扫描)

        创建扫描：文件-->新建-->创建新的扫描，弹出配置向导窗口，选择第一项：扫描web应用程序

• 填写目标URL

• 由于做登陆设置，所以点击记录，选择Appscan IE浏览器

• 填写账号密码，进行登录，登陆成功后，选择我已登陆该站点

• 等待系统收录完毕之后会显示已配置完毕

• 测试策略选择缺省值

• 点击自动扫描