appscan网站漏洞扫描工具-appscan-华克斯

appscan 常见的漏洞概述

2、跨站点请求csrf

1）定义

csrf（ cross-site request forgery）：跨站请求wei造，简单说，appscan网站漏洞扫描工具，以你的名义发送e意请求，而你却不知情。

---攻击者往web页面里插入e意的html代码，appscan，当用户浏览该页之时，嵌入其中web里面的html代---被执行，扫描移动端软件，从而达到e意目的。

举个例子：写了一段删除某个财务系统数据的代码，放在任意一个广告页面的链接上。当其他用户浏览广告页面时，只要有用户例如emily登录了财务系统，---了该链接，就会在用户emily无意识的情况下，以emily的名义删除了财务系统的很多数据，达到了---工击的目的。

实际的场景：添加管理员，购买商品，发送邮件等等。

2）风险分析

攻击者可以对系统进行任何增删改查的操作，---损害了系统的安全性。

3）修---式

a、添加token，发请求时带上token。处理请求的时候需要验证cookie+token

b、请求头中referer参数需要校验请求来源是否是目标网页发出

   缺点：

（1）refer值由浏览器提供，不能---浏览器自身没有安全漏洞

（2）用户可以自己设置浏览器，让其在发送请求时不提供refer值

   优点：简单易行

实际项目中，一般采用添加refer请求头和添加token组合的方式，来防止csrf的工击。

appscan使用---注意事项

1appscan扫描过程中，会向服务器发送较多请求，会占用一定的正常请求访问的资源，可能导致一些垃圾数据，建议只在本地测试环境执行

2使用appscan之前，请提前备份好数据库的数据，假若扫描致使服务器异常关闭，则需重启服务；若扫描产生的请求数据过多，或web程序出现异常，可能需要从备份数据恢复还原。一般情况下，正常扫描web程序很少可能出现web服务异常的情形

3appscan扫描配置时，有区分为web application（web应用程序）和web service（web服务）的扫描方向。若只对web程序本身的漏洞检测，就选web application扫描即可；若选择web service扫描，则需提前告知服务器维护的负责人，建立异常情况发生的处理机制，蕞好避开访问请求的高峰or办公人员集中使用的时间，比如下班后自动扫描