課程介紹
Appscan是web應(yīng)用程序安全測(cè)試舞臺(tái)上使用最廣泛的工具之一,有助于專(zhuān)業(yè)安全人員進(jìn)行Web應(yīng)用程序自動(dòng)化脆弱性評(píng)估。
AppScan 是對(duì)網(wǎng)站等 Web 應(yīng)用進(jìn)行安全測(cè)試來(lái)檢查網(wǎng)站是否存在安全漏洞;既然是測(cè)試,需要有明確的測(cè)試對(duì)象吧,對(duì)網(wǎng)站來(lái)說(shuō),一個(gè)網(wǎng)站存在的頁(yè)面,可能成千上萬(wàn)。每個(gè)頁(yè)面也都可能存在多個(gè)字段(參數(shù)),比如一個(gè)登陸界面,至少要輸入用戶(hù)名和密碼吧,這就是一個(gè)頁(yè)面存在兩個(gè)字段,你提交了用戶(hù)名密碼等登陸信息,網(wǎng)站總要有地方接受并且檢查是否正確吧,這就可能存在一個(gè)新的檢查頁(yè)面。這里的每個(gè)頁(yè)面的每個(gè)參數(shù)都可能存在安全漏洞,所有都是被測(cè)試對(duì)象,都需要來(lái)檢查。
AppScan 工作原理小結(jié)如下:
通過(guò)搜索(爬行)發(fā)現(xiàn)整個(gè) Web 應(yīng)用結(jié)構(gòu)
根據(jù)分析,發(fā)送修改的 HTTP Request 進(jìn)行測(cè)試嘗試(掃描規(guī)則庫(kù))
通過(guò)對(duì)于 Respone 的分析驗(yàn)證是否存在安全漏洞
目錄
1 : 介紹
2 : 優(yōu)化配置
3 : 應(yīng)用 |