APPSCAN扫描问题结果.ppt

Appscan扫描问题结果详述,朱晟,结果：安全问题,Rational AppScan 提供了查看和处理扫描结果的三种方法：“安全问题”、“修复任务”和“应用程序数据”。 本部分是讨论“安全问题视图”。 “安全问题”概述 安全问题：应用程序树 安全问题：结果列表 安全问题：详细信息窗格 Manual Test,“安全问题”概述,“安全问题视图”提供扫描结果的信息和访问权。你可以在高级别查看结果，或者选择特定测试或对象并访问更多详细信息。这些详细信息包括：咨询、修订建议、请求/响应，和引发问题的测试变体之间的差异。 你可以控制问题的严重性，重新发送测试（可修改可不修改），并基于“问题”创建报告。 在视图选择器上单击安全问题,安全问题：应用程序树,应用程序树显示已扫描的应用程序的文件夹和文件。树中每个节点都有一个计数器，显示节点包含多少个问题。 在“应用程序树”中，您可以： 选择一个节点，以过滤在结果列表中显示的问题。 使用右键单击菜单来“在浏览器中查看”、“手动探索”、“手动测试”、“记录多步骤操作”、“复制URL”和“从扫描中排除 URL”。 如果你定义了基于内容的规则，那么你可以通过单击窗格顶部的组合框，在“基于 URL 的”视图和“基于内容的”视图之间切换,从扫描中排除 URL,通过右键单击并选择从扫描中排除，“应用程序树”中的任何 URL 或节点都可从未来扫描中排除。（要恢复 URL 或节点，只需再次右键单击并选择包括在扫描中）。 URL 或节点从扫描中排除后，它在“应用程序树”中的图标上会出现一个 X。,以此方法排除 URL 后，“排除”项将添加到排除或包括路径列表,安全问题：结果列表,“结果列表”显示与“应用程序树”中所选节点相关的问题。如果选择“我的应用程序”节点，那么“结果列表”将显示在 Web 应用程序中找到的所有问题。 问题按照“类型”分组。每个“类型”下列出所有 URL。每个 URL 下列出所有问题。（问题的单个变体不显示在“结果列表”中，但是可以从“详细信息”窗格查看。） 树中每个节点都有一个严重性图标，指示问题严重性；还有一个计数器，指示找到的该类型问题数。,可以更改问题排序的方式，也可以控制它们的严重性值。 可以将当前不想处理的问题指定为“干扰”，将其从结果显示中一并除去，或者显示为带有删除线。,问题状态：打开或干扰,如果 AppScan 发现的特定问题与应用程序无关（意思是对于你的应用程序，该问题实际上是“错误肯定”结果），例如，某个问题仅存在于开发环境中，但不存在于部署环境中，那么你可以确定将其分类为“干扰”。 标记为干扰的问题有两种显示选项：包含在“结果”列表中但为带有删除线的灰色文本、根本未包含在结果列表中。 要在两个显示选项之间切换，单击查看 显示标记为“干扰”的问题。 结果 当选中标记显示在菜单项旁时，标记为“干扰”的问题将包含到“结果”列表中，但为带有删除线的灰色文本。,重新发送测试,不运行完整的“全面扫描”或“测试”阶段也可以重新发送测试。例如，如果测试结果似乎与先前的扫描结果不一致，那么您可以重新发送该测试。 在结果列表上，右键单击节点。 在出现的菜单上，单击重新测试。 AppScan发送包含在所选定节点中的所有测试请求，此时会将新的结果添加到结果列表。,安全问题：详细信息窗格,详细信息窗格显示所选测试的相关信息，及其所有在结果列表中所选的变体。 详细信息窗格含有四个选项卡（单击选项卡可将其内容置于前端）： “问题信息”选项卡 “咨询”选项卡 “修订建议”选项卡 请求/响应选项卡,“问题信息”选项卡,在扫描期间，当发现问题并将其添加到树中时，“问题信息”选项卡会提供在其他“详细信息”窗格选项卡上可用的信息摘要。但是，其主要目的在于显示由结果专家添加的其他信息。此信息包括针对问题的 CVSS 度量值评分和相关屏幕快照，这些可以与结果一起保存并包含在 Word 报告中。,如果在扫描后未运行结果专家，“问题信息”选项卡将显示其他三个选项卡上的信息摘要，但是不含附加信息。不过，你可以随时更新选项卡： 要更新所发现的所有问题的“问题信息”选项卡，请依次单击工具 运行扫描专家。 要更新单个问题的“问题信息”选项卡，请打开该问题的请求/响应选项卡，然后选择创建问题信息。,“问题信息”内容,标题： 问题标题，包括 URL、实体和安全风险。 CVSS 度量值评分 ：三个 CVSS 度量值组的图形说明：基本、临时和环境。 提示（黄色框）： 此信息指的是内容区域（下方）并说明在此处出现的图像或 HTML 中要注意的内容。 内容（屏幕快照或 HTML 代码）： 根据问题，此区域可能包括一个屏幕快照、两个供比较的屏幕快照、一个含模拟弹出窗口的屏幕快照或 HTML 代码。（此内容还在选项卡旁通过缩略图表示。）如果是 HTML，你可以通过单击内容区域右上角的图标，将文本换行切换打开和关闭。 推理（蓝色框）： 说明 AppScan 已执行的操作及其将此视为问题的原因。 技术摘要（灰色框）： AppScan 为测试此问题已执行的操作及其如何验证响应的技术详细信息。,“咨询”选项卡,“咨询”选项卡上的信息会提供有关所选问题的技术详细信息，以及更多信息的引用链接。,“咨询”选项卡内容,咨询选项卡可能会包含下列任一部分： 问题名称 出现在结果列表中。 测试描述 测试的类型。如果此描述没有显示侵入式，那么测试为非侵入式；它还会显示测试是应用程序级别还是基础结构级别。 安全风险 作为应用程序安全风险的问题的说明。 培训模块 解释并说明问题的 Flash 演示。 可能原因 暗示问题在应用程序中的成因。 技术描述 问题的特定技术性描述。 受影响产品 可能会受到问题影响的第三方产品。 引用和相关链接 指向更多信息的链接。 注：选项对话框（工具 选项）的首选项选项卡会提供对于部分咨询，会提供简短的培训视频，可以将其嵌入在“咨询”选项卡中，以供查看咨询时进行查看。如果需要减小文件大小，请取消选择此项。,“修订建议”选项卡,“修订建议”选项卡上的信息是指为保障 Web 应用程序不会出现所选的特定问题而应完成的具体任务。修订建议选项卡会显示修订所选问题所对应的已知建议。这些解决方案可能是非常复杂的逐步指示信息。,请求/响应选项卡,请求/响应：选项卡提供了关于测试及其特定变体的信息，这些信息被发送到你的 Web 应用程序，以发现应用程序的弱点。一个测试可能有多个变体。 变体与 AppScan 发送到 Web 应用程序服务器的原始测试请求稍有不同。（AppScan 首先发送一个合法并遵循应用程序业务逻辑的请求。然后会再发送相同请求，但是经过修改以发现应用程序如何处理非法或错误的请求。每个测试请求可能有多个变体；变体的数量需要足够覆盖扩展 AppScan 数据库中的所有安全规则。） 例如，发送一个测试以确保你已对特定参数实施了用户输入规则。一个变体确保撇号是无效输入；另一个变体确保不允许使用引号。 变体本身以红色文本显示，验证（表示安全问题存在的响应部分）以黄色突出显示。 除了大量的解释信息，请求/响应选项卡还提供高级功能，以理解并使用扫描结果。,请求/响应选项卡在顶部有其自己的工具栏，在右侧还有两个选项卡（可通过切换选项卡右上角的属性按钮来显示/隐藏。） 工具栏和选项卡如下所示，并在下表中进行概括。,“变体详细信息”选项卡,可提供测试的标识、测试变体与原始请求之间的差异，以及 AppScan 认为该结果表示存在安全问题的原因。 描述：参数、cookie 或方法的值已更改为不同于原始请求所使用的值。 可在选项卡底部的注释区域输入关于当前变体的注释，该注释将和“扫描”一同保存并包括在报告中。,原始请求/响应 要查看 AppScan 在“探索”阶段发送到你的 Web 应用程序的原始 HTTP 请求，以及你的服务器发回的响应，请单击原始。 查看变体 每个测试可以拥有多个相关变体；每个变体会稍微更改请求，以针对众多的攻击技术来检查应用程序安全性。 单击测试。 单击左右方向按钮来查看变体请求。 对于发送的每个变体测试，请求已修改的部分都已用红色突出显示。,手动测试,Manual Test 功能允许你发送自己的测试，并将它们保存为安全问题，并可包含在你的报告中。 只有在 Rational AppScan 已生成当前扫描的测试后，您才可以创建 Manual Test。仅为当前扫描保存 Manual Test。,可以让 手动测试基于现有测试，或您可以从头开始创建新的测试。 要基于现有变体创建手动测试，请执行以下操作： 在结果列表上，单击测试变体，或 在结果列表上，单击测试，然后在详细信息窗格中使用工具栏浏览至必需的变体。 打开手动测试对话框： 在工具菜单上，单击手动测试，或 右键单击在应用程序树或结果列表中选定的变体，然后从弹出窗口中手动测试，或 单击详细信息窗格中的手动测试按钮，以获取选定的变体。 此时会显示手动测试对话框，将显示已选定的测试变体的属性。,测试策略 配置,在主机名/IP 地址字段中，输入测试将要发送到的服务器。 在端口字段中，输入 AppScan 用来连接到服务器的端口。 缺省端口是 80；如果选择 SSL，那么缺省端口为 443。 如果需要，您可以编辑请求本身。 在选项列表中，单击您想打开的选项。,单击发送。 此时会发送请求，响应会显示在响应文本区域内（下部窗格）。 要查看嵌入式浏览器