还没有正式开始安全测试之前,所以先不管“继续”,直接来讨论“完全扫描”,“仅探索”,“仅
测试”三个名词:
AppScan 三个核心要素
AppScan 是对网站等 Web 应用进行安全攻击来检查网站是否存在安全漏洞;既然是攻击,
需要有明确的攻击对象吧,比如北约现在的对象就是卡扎菲上校还有他的军队。对网站来说,
一个网站存在的页面,可能成千上万。每个页面也都可能存在多个字段(参数),比如一个
登陆界面,至少要输入用户名和密码吧,这就是一个页面存在两个字段,你提交了用户名密
码等登陆信息,网站总要有地方接受并且检查是否正确吧,这就可能存在一个新的检查页面。
这里的每个页面的每个参数都可能存在安全漏洞,所有都是被攻击对象,都需要来检查。
这就存在一个问题,我们来负责来检查一个网站的安全性,这个网站有多少个页面,有多少
个参数,页面之间如何跳转,我们可能并不明确,如何知道这些信息?看起来很复杂,盘根
错节;那就更需要找到那个线索,提纲挈领;想一想,访问一个网站的时候,我们需要知道
的最重要的信息是哪个?网站主页地址吧?从网站地址开始,很多其他频道,其他页面都可
以链接过去,对不对,那么可不可以有种技术,告诉了它网站的入口地址,然后它“顺藤摸
瓜”,找出其他的网页和页面参数?OK,这就是“爬虫”技术,具体说,是“网站爬虫”,其利
用了网页的请求都是用 http 协议发送的,发送和返回的内容都是统一的语言 HTML,那
么对 HTML 语言进行分析,找到里面的参数和链接,纪录并继续发送之,最终,找到了这
个网站的众多的页面和目录。这个能力 AppScan 就提供了,这里的术语叫“探索”,
explorer,就是去发现,去分析,了解未知的,并记录之。
在使用 AppScan 的时候,要配置的第一个就是要检查的网站的地址,配置了以后,
AppScan 就会利用“探索”技术去发现这个网站存在多少个目录,多少个页面,页面中有哪
些参数等,简单说,了解了你的网站的结构。
“探索”了解了,测试的目标和范围就大致确定了,然后呢,利用“军火库”,发送导弹,进行
安全攻击,这个过程就是“测试”;针对发现的每个页面的每个参数,进行安全检查,检查的
弹药就来自 AppScan 的扫描规则库,其类似杀毒软件的病毒库,具体可以检查的安全攻
击类型都在里面做好了,我们去使用即可。
第 2 页 共 24 页
评论0