华克斯-appscan----appscan

appscan案例分析

工作中遇到一个案例，appscan，使用 appscan 扫描扫描了 3*24 小时，扫描的 scan 文件已经达到9g；扫描还在持续进行中，总体进度完成了

30%，可以---扫描速度已经很缓慢，还需要多长时间才可以完成扫描？扫描完成以后如此大的结果文件是否可以成功打开和修改保存 ?

我们的分析过程如下：

1、和用户讨论，确认关心的安全问题，根据这些安全问题制定测试策略；讨论后确定选择“sql 注入”和“跨站点---编制”两种类型的安全---。

2、确定网站范围，被扫描应用是典型运营商门户网站，重点要扫描门户网站自身和其上面提供的“网上营业厅”服务。分析被测网站，hcl appscan，使用 appscan 配置了网站主页面，然后选择“仅探索”运行 20 分钟后，发现 30，000 多个页面。停止探索，开始分析页面。

3、分析发现该网站同一个链接，存在 http、https 访问的不同情况，而且两种访问方式访问到的页面内容相同，则过滤掉 https 的请求，appscan正版，集中测试 http 请求。分析发现存在大量的“伪静态页面”，如：

appscan案例分析

6.同时，发现了 swf 文件，应该不准备扫描 flash，所以在“排除文件类型”中，设置根据后缀名排除 swf 文件。

7.发现

目录下存在大量如下类型的页面，都是 menu 参数值不同，访问以后发现出现的是页面中有不同的超链接：

确认该页面是业务类型的“冗余路径”，应该扫描，则需要把“冗余路径设置”调整为比较大的参数，同时该频道是网上营业厅频道，也要求用户先登录。所以针对该目录建立一个单独的扫描任务，appscan---，只扫描该目录和其下子目录。

8.分析发现 index.jsp 在多个目录下出现，而且每次出现都有两种格式，即没有参数和有固定的三个参数，每次的参数值都相同。如：

访问上面的页面，发现内容相同，则说明是否带这三个参数不会影响探索发现更多的页面，则可以设置这三个参数每次是否出现，是否有不同值都可以认为是同一个页面。

设置方法：扫描配置中依次选择“参数和 cookie”来实现。然后增加 querytype，applyarea，kbkey 三个参数，均设置为“是否有参数”、“参数是否变化”不影响测试的模式。