Web漏洞扫描-Appscan安装配置及扫描

Posted 2023-04-02 poggioxay

软件介绍

AppScan 是一种 Web 应用程序安全扫描工具，可帮助组织识别和修复其 Web 应用程序中的漏洞。它结合使用自动和手动测试技术来识别漏洞，例如跨站点脚本 (XSS)、SQL 注入和不安全的文件上传等。

AppScan 可用于在开发生命周期的不同阶段扫描 Web 应用程序，包括设计、开发和测试阶段。它还可用于对生产 Web 应用程序执行持续的漏洞评估。

该工具提供详细的报告，突出显示发现的漏洞，并提供如何修复这些漏洞的建议。它还提供了多种使其易于使用的功能，例如与流行的开发框架集成以及扫描在各种平台（包括 Java、.NET 和 php）上构建的应用程序的能力。

总体而言，AppScan 是希望提高 Web 应用程序安全性并防范网络威胁的组织的宝贵工具。

下载地址

链接：
https://pan.baidu.com/s/19TAHl8lYGmE0O753ULyzYA

密码：yvle

安装教程

1. 下载之后双击该exe文件进行安装。

图3.1 安装文件

1. 选择安装语言为中文

图3.2 安装语言选择

1. 选择我接受条款协议。

图3.3 安装协议

1. 选择合适的安装目录，默认也可以。

图3.4 自定义安装目录

1. 安装完成后出现一个安装组件的弹窗如图3.5，选择“是”。

图3.5 安装组件弹窗

1. 最后点击完成即可安装成功。

图3.6 安装成功

四、使用教程

1. 双击开启后，选择“创建新的扫描”

图4.1 开启界面

1. 选择“常规扫描”

图4.2 常规扫描

1. 选择web应用程序扫描，点击下一步。

图4.3 web应用程序扫描

1. 在“起始URL”下面输入需要启动扫描的URL，如果勾选了“仅扫描此目录中或目录下的链接”（如下图），则会只扫描起始URL目录或者子目录中的链接。

举例：如果我们的网站www.sina.com.cn下面有两个目录test1和test2，当起始URL中输入"
http://www.sina.com.cn/test1/"并勾选“仅扫描此目录中或目录下的链接”的时候，appscan不会扫描“www.sina.com.cn/test2”目录下的所有链接。

另外，如果被扫描对象的主机是unix或者linux，建议勾选下面的“将所有路径作为区分大小写来处理（Unix、Linux等）(T)”选项（如图4.4），因为unix或者linux是对大小写敏感的；如果被扫描对象的主机是windows主机，则没有必要勾选此项。

如果扫描的时候需要顺便扫描其它的服务器或者域，则需要在底下的“其它服务器和域”中添加对应的路径。

这里我用如意购购物网站举例：

图4.4 起始URL设置

1. 在显示的配置向导的登录方法页面，可以选择合适的登录方法便于后续扫描的开展。最常用的登录方法有两种：记录和自动，这里以“记录”为例。

图4.5 登录方法选择

1. 点击“记录”按钮，会弹出浏览器加载上面输入的扫描起始URL，这个时候正常的像操作web界面一样输入用户名/密码登录被测系统后，直接点击关闭窗口按钮即可，这个过程中会把整个登录过程给录制下来用于后面的登录验证。

图4.6 分析数据

1. 其它的保持默认选择，直接点击“下一步”。如果需要在登录注销页面上进行攻击测试，则需要勾选下面两个勾选框，然后点击下一步。

图4.7 测试策略界面

1. 选择完合适的测试策略之后，点击“下一步”，采用默认选择即可，点击“完成”。

图4.8 完成扫描配置

图4.9 正在扫描中

WEB安全漏洞扫描与处理（上）——安全漏洞扫描工具AppScan的安装使用

主要对AppScan的安装、漏洞扫描以及报告生成进行了说明，是一个简易的操作描述

很多公司对软件会有安全的要求，一般测试公司会使用安全漏洞扫描工具对软件进行漏扫，然后给出安全报告，然后软件开发人员会根据提供的安全报告进行漏洞的处理。我们接触到的测评公司，使用的是漏洞扫描工具AppScan，这里介绍一下AppScan的安装使用，以及安全报告的生成。

1漏扫工具AppScan的下载和安装

1.1 AppScan的下载

利用百度搜索Appscan，可以找到对应的资源，下载后，一般是压缩文件，大概500M左右，现在的版本是10.0，旧一些的版本9.0也可以，文件大小差不多。文件解压后，有一个安装文件，还有资料。以10.0.0版本为例，安装文件为AppScan_Setup_10.0.0.exe，文件在文件夹AppScanStdCrk中。

 

 

 打开AppScanStdCrk之后，里面有文件，AppScanStandard.txt和rcl_rational.dll。

 

 

 1.2 AppScan的安装

以管理员权限运行AppScan_Setup_10.0.0.exe，进行默认安装，通过一直点击下一步，可以完成安装。

安装后进行软件的操作。

将rcl_rational.dll复制保存到软件的安装目录C:\\Program Files (x86)\\HCL\\AppScan Standard中。

然后打开软件，选择帮助—许可证，点击下方的切换到IBM许可证，在新弹出的页面点击“打开AppScan License Manager”，然后在弹出的页面点击右上方的许可证配置，点击+号，

选择文件AppScanStandard.txt，导入文件，导入成功后确定。 

 

 

 通过替换文件，以及导入文本，软件安装成功，软件信息如下所示。

 

 

 2 AppScan的漏洞扫描过程

利用工具AppScan进行漏扫，可以自动化的对某个网站进行漏洞扫描。

比如对某个网站进行漏扫，首先点击文件—新建，选择扫描Web应用程序，然后会出现扫描配置向导。第一步确认起始URL，在文本输入栏输入要扫描的网址或网站IP，点击下一步。

 

 

 第二步是进行登录管理的设置。可以选择默认的记录方式登录到应用程序，点击记录，选择chrome（比较常用），进行登录操作，这时候工具会记录下来登录信息。然后点击下一步。

 

 

 第三步进行测试策略的选择，上方有测试策略的选择框，下方左侧是策略的列表，下方右侧是对测试策略的说明。

 

 

 第四步是测试优化的选择。

 

 

 最后一步是选择启动扫描的方式，默认是启动全面自动扫描，点击完成后，工具开始漏洞扫描。也可以选择“我将稍后启动扫描”，进行策略配置后，再进行扫描工作。

 

 

 启动扫描后，等待扫描任务完成。

3安全报告的生成

扫描完成之后，会在软件的页面显示相应的扫描结果信息，可以通过点击对应的信息点直接查看漏洞情况。

 

 

 也可以生成pdf格式的安全报告，提交给相应的人员，以便进一步的处理。点击菜单下面的工具栏的报告。

 

 

 在创建报告的页面选择安全性，然后可以选择一个模板，右侧会显示模板中包含的内容，选择详细模板，基本上会包含绝大部分内容，也可以直接在右侧勾选内容。

 

 

 选择完成后，点击保存报告，则会生成pdf安全报告。

4 结语

该部分主要对AppScan的安装、漏洞扫描以及报告生成进行了说明，是一个简易的操作描述，如果对漏洞扫描有特别要求，还需要进行测试策略的详细配置，在配置工具栏，可以看到详细的策略配置信息，后续还要介绍安全测试报告的分析，以及对应漏洞的处理。