这里主要分享如何使用AppScan对一大项目的部分功能进行安全扫描。
------------------------------------------------------------------------
其实，对于安全方面的测试知道的甚少。因为那公司每个月要求对产品进行安全扫描。掌握了一人点使用技巧，所以拿来与大家分享。
因为产品比较大，功能模块也非常之多，我们不可能对整个产品进行扫描。再一个每个测试员负责测试的模块不同。我们只需要对自己负责测试的模块扫描即可。
抽取被扫描功能的链接
首先要抽取扫描的链接。fiddler工具来抽取。打开系统，找到你需要做扫描的功能模块，开启fiddler拦截功能，然后对你所要测试的功能做各种操作，fiddler就会记录的所有访问的链接，因为涉及到隐私，所以下图会比较模糊。
其实，请求中有非常多的链接，但许多是一样，我们只要把不一样的全找出来就可以了。这里你需要知道每个连接的情况。也有一些外部链接是不需要抽取的。
aaa.bbb.cn g2.aaa.bbb.cn g1.aaa.bbb.cn webapp.aaa.bbb.cn uec.aaa.bbb.cn addrapi.aaa.bbb.cn smsrebuild1.aaa.bbb.cn disk2.aaa.bbb.cn mw.aaa.bbb.cn scriptlog.aaa.bbb.cn images.139cm.com appmail.aaa.bbb.cn gfile5-disk.aaa.bbb.cn gfile8-disk.aaa.bbb.cn gfile7-disk.aaa.bbb.cn |
把所有链接抽取出来之后就没几个了。去掉重复的就没多少了。
完成配置向导
下面打开appscan创建扫描。
选择常规扫描，进入配置向导。点击下一步，进入配置
上面这一步是重点，起始URL填写你要扫描的网址。其它服务器和域：这里把抽取的所有链接都添加进去。包括后网站的首页链接。点击下一步。
这里提供三种方式来记录帐号，不多介绍。第一种和第三种最常用。
然后点击几个下一步后出现后面的选项，选择第三个或第四项完成扫描的配置。
