APPSCAN扫描问题结果课件.ppt

《APPSCAN扫描问题结果课件.ppt》由会员分享，可在线阅读，更多相关《APPSCAN扫描问题结果课件.ppt（24页珍藏版）》请在三一办公上搜索。

1、Appscan扫描问题结果详述,朱晟,结果：安全问题,Rational AppScan 提供了查看和处理扫描结果的三种方法：“安全问题”、“修复任务”和“应用程序数据”。本部分是讨论“安全问题视图”。“安全问题”概述 安全问题：应用程序树 安全问题：结果列表 安全问题：详细信息窗格 Manual Test,“安全问题”概述,“安全问题视图”提供扫描结果的信息和访问权。你可以在高级别查看结果，或者选择特定测试或对象并访问更多详细信息。这些详细信息包括：咨询、修订建议、请求/响应，和引发问题的测试变体之间的差异。你可以控制问题的严重性，重新发送测试（可修改可不修改），并基于“问题”创建报告。在视图

2、选择器上单击安全问题,安全问题：应用程序树,应用程序树显示已扫描的应用程序的文件夹和文件。树中每个节点都有一个计数器，显示节点包含多少个问题。在“应用程序树”中，您可以：选择一个节点，以过滤在结果列表中显示的问题。使用右键单击菜单来“在浏览器中查看”、“手动探索”、“手动测试”、“记录多步骤操作”、“复制URL”和“从扫描中排除 URL”。如果你定义了基于内容的规则，那么你可以通过单击窗格顶部的组合框，在“基于 URL 的”视图和“基于内容的”视图之间切换,从扫描中排除 URL,通过右键单击并选择从扫描中排除，“应用程序树”中的任何 URL 或节点都可从未来扫描中排除。（要恢复 URL 或节点

3、，只需再次右键单击并选择包括在扫描中）。URL 或节点从扫描中排除后，它在“应用程序树”中的图标上会出现一个 X。,以此方法排除 URL 后，“排除”项将添加到排除或包括路径列表,安全问题：结果列表,“结果列表”显示与“应用程序树”中所选节点相关的问题。如果选择“我的应用程序”节点，那么“结果列表”将显示在 Web 应用程序中找到的所有问题。问题按照“类型”分组。每个“类型”下列出所有 URL。每个 URL 下列出所有问题。（问题的单个变体不显示在“结果列表”中，但是可以从“详细信息”窗格查看。）树中每个节点都有一个严重性图标，指示问题严重性；还有一个计数器，指示找到的该类型问题数。,可以更改

4、问题排序的方式，也可以控制它们的严重性值。可以将当前不想处理的问题指定为“干扰”，将其从结果显示中一并除去，或者显示为带有删除线。,问题状态：打开或干扰,如果 AppScan 发现的特定问题与应用程序无关（意思是对于你的应用程序，该问题实际上是“错误肯定”结果），例如，某个问题仅存在于开发环境中，但不存在于部署环境中，那么你可以确定将其分类为“干扰”。标记为干扰的问题有两种显示选项：包含在“结果”列表中但为带有删除线的灰色文本、根本未包含在结果列表中。要在两个显示选项之间切换，单击查看 显示标记为“干扰”的问题。结果当选中标记显示在菜单项旁时，标记为“干扰”的问题将包含到“结果”列表中，但为带

5、有删除线的灰色文本。,重新发送测试,不运行完整的“全面扫描”或“测试”阶段也可以重新发送测试。例如，如果测试结果似乎与先前的扫描结果不一致，那么您可以重新发送该测试。在结果列表上，右键单击节点。在出现的菜单上，单击重新测试。AppScan发送包含在所选定节点中的所有测试请求，此时会将新的结果添加到结果列表。,安全问题：详细信息窗格,详细信息窗格显示所选测试的相关信息，及其所有在结果列表中所选的变体。详细信息窗格含有四个选项卡（单击选项卡可将其内容置于前端）：“问题信息”选项卡“咨询”选项卡“修订建议”选项卡 请求/响应选项卡,“问题信息”选项卡,在扫描期间，当发现问题并将其添加到树中时，“问题

6、信息”选项卡会提供在其他“详细信息”窗格选项卡上可用的信息摘要。但是，其主要目的在于显示由结果专家添加的其他信息。此信息包括针对问题的 CVSS 度量值评分和相关屏幕快照，这些可以与结果一起保存并包含在 Word 报告中。,如果在扫描后未运行结果专家，“问题信息”选项卡将显示其他三个选项卡上的信息摘要，但是不含附加信息。不过，你可以随时更新选项卡：要更新所发现的所有问题的“问题信息”选项卡，请依次单击工具 运行扫描专家。要更新单个问题的“问题信息”选项卡，请打开该问题的请求/响应选项卡，然后选择创建问题信息。,“问题信息”内容,标题：问题标题，包括 URL、实体和安全风险。CVSS 度量值评分

7、：三个 CVSS 度量值组的图形说明：基本、临时和环境。提示（黄色框）：此信息指的是内容区域（下方）并说明在此处出现的图像或 HTML 中要注意的内容。内容（屏幕快照或 HTML 代码）：根据问题，此区域可能包括一个屏幕快照、两个供比较的屏幕快照、一个含模拟弹出窗口的屏幕快照或 HTML 代码。（此内容还在选项卡旁通过缩略图表示。）如果是 HTML，你可以通过单击内容区域右上角的图标，将文本换行切换打开和关闭。推理（蓝色框）：说明 AppScan 已执行的操作及其将此视为问题的原因。技术摘要（灰色框）：AppScan 为测试此问题已执行的操作及其如何验证响应的技术详细信息。,“咨询”选项卡,“

8、咨询”选项卡上的信息会提供有关所选问题的技术详细信息，以及更多信息的引用链接。,“咨询”选项卡内容,咨询选项卡可能会包含下列任一部分：问题名称 出现在结果列表中。测试描述 测试的类型。如果此描述没有显示侵入式，那么测试为非侵入式；它还会显示测试是应用程序级别还是基础结构级别。安全风险 作为应用程序安全风险的问题的说明。培训模块 解释并说明问题的 Flash 演示。可能原因 暗示问题在应用程序中的成因。技术描述 问题的特定技术性描述。受影响产品 可能会受到问题影响的第三方产品。引用和相关链接 指向更多信息的链接。注：选项对话框（工具 选项）的首选项选项卡会提供对于部分咨询，会提供简短的培训视频，

9、可以将其嵌入在“咨询”选项卡中，以供查看咨询时进行查看。如果需要减小文件大小，请取消选择此项。,“修订建议”选项卡,“修订建议”选项卡上的信息是指为保障 Web 应用程序不会出现所选的特定问题而应完成的具体任务。修订建议选项卡会显示修订所选问题所对应的已知建议。这些解决方案可能是非常复杂的逐步指示信息。,请求/响应选项卡,请求/响应：选项卡提供了关于测试及其特定变体的信息，这些信息被发送到你的 Web 应用程序，以发现应用程序的弱点。一个测试可能有多个变体。变体与 AppScan 发送到 Web 应用程序服务器的原始测试请求稍有不同。（AppScan 首先发送一个合法并遵循应用程序业务逻辑的请

10、求。然后会再发送相同请求，但是经过修改以发现应用程序如何处理非法或错误的请求。每个测试请求可能有多个变体；变体的数量需要足够覆盖扩展 AppScan 数据库中的所有安全规则。）例如，发送一个测试以确保你已对特定参数实施了用户输入规则。一个变体确保撇号是无效输入；另一个变体确保不允许使用引号。变体本身以红色文本显示，验证（表示安全问题存在的响应部分）以黄色突出显示。除了大量的解释信息，请求/响应选项卡还提供高级功能，以理解并使用扫描结果。,请求/响应选项卡在顶部有其自己的工具栏，在右侧还有两个选项卡（可通过切换选项卡右上角的属性按钮来显示/隐藏。）工具栏和选项卡如下所示，并在下表中进行概括。,“

11、变体详细信息”选项卡,可提供测试的标识、测试变体与原始请求之间的差异，以及 AppScan 认为该结果表示存在安全问题的原因。描述：参数、cookie 或方法的值已更改为不同于原始请求所使用的值。可在选项卡底部的注释区域输入关于当前变体的注释，该注释将和“扫描”一同保存并包括在报告中。,原始请求/响应要查看 AppScan 在“探索”阶段发送到你的 Web 应用程序的原始 HTTP 请求，以及你的服务器发回的响应，请单击原始。查看变体每个测试可以拥有多个相关变体；每个变体会稍微更改请求，以针对众多的攻击技术来检查应用程序安全性。单击测试。单击左右方向按钮来查看变体请求。对于发送的每个变体测试，

12、请求已修改的部分都已用红色突出显示。,手动测试,Manual Test 功能允许你发送自己的测试，并将它们保存为安全问题，并可包含在你的报告中。只有在 Rational AppScan 已生成当前扫描的测试后，您才可以创建 Manual Test。仅为当前扫描保存 Manual Test。,可以让 手动测试基于现有测试，或您可以从头开始创建新的测试。要基于现有变体创建手动测试，请执行以下操作：在结果列表上，单击测试变体，或 在结果列表上，单击测试，然后在详细信息窗格中使用工具栏浏览至必需的变体。打开手动测试对话框：在工具菜单上，单击手动测试，或 右键单击在应用程序树或结果列表中选定的变体，然后

13、从弹出窗口中手动测试，或 单击详细信息窗格中的手动测试按钮，以获取选定的变体。此时会显示手动测试对话框，将显示已选定的测试变体的属性。,测试策略 配置,在主机名/IP 地址字段中，输入测试将要发送到的服务器。在端口字段中，输入 AppScan 用来连接到服务器的端口。缺省端口是 80；如果选择 SSL，那么缺省端口为 443。如果需要，您可以编辑请求本身。在选项列表中，单击您想打开的选项。,单击发送。此时会发送请求，响应会显示在响应文本区域内（下部窗格）。要查看嵌入式浏览器中的响应，请单击在浏览器中显示。要将该 Manual Test 添加到当前扫描，请单击保存。此时会显示选择问题类型对话框，缺省情况下会选择用户定义的测试单选按钮。要将测试保存在现有测试类型下（而不是缺省的用户定义的测试类型），请选择第二个单选按钮，然后单击列表中的测试类型。单击确定。此时会关闭对话框。新的测试会添加到结果，当您继续或重新运行当前扫描时（扫描 继续/重新扫描 测试），将包含该测试。,