appscan测试移动应用程序安全性
配置 appscan 测试移动应用程序
在采用 ibm security appscan 进行安全性测试之前，首先要配置移动端，appscan 和 server 端的连接。通过设置 appscan 为移动端代理，移动端和服务器端的交互，拦截和转发移动端与 server 端交互的数据流，appscan 可以对移动应用程序进行有效的安全性扫描。下图以 ios 为例来说明如何进行配置。
首先，通过端口映射工具配置移动端和 appscan 之间的数据连接。本文采用 rinetd 进行配置，rinetd 是为重定向传输控制协议 (tcp) 连接的一个开源工具，支持 unix， linux 和 windows 多种 操作系统。安装 rinetd 以后，配置端口转发文件并基于配置文件启动 rinetd 即可。
配置完端口映射工具以后，appscan黑盒扫描，根据信息配置 ios 端网络，appscan，使移动端应用程序数据通过发往 appscan 代理。进入 iphone， 选择设置 ->; 无线局域网 ->; 当前网络 ->; 详细信息 ->;http 代理，配置相应的服务器和端口信息。服务器 ip 为 appscan 所在 server 端 ip 地址，端口为 rinetd.conf 里配置的端口信息。
appscan分析阶段
在分析阶段，结合业务特点，检查是否扫描范围，分析扫描结果，并针对扫描出来的问题，进行分析，产生多种类型的报告等。
appscan扫描结果检查
扫描结束后，建议切换到“应用程序数据”视图中，对页面进行分析，appscan总，检查是否页面都被测试到了。重点检查如下部分：
交互式 url：一些页面，必须输入正确的信息，appscan---，才可以跳转到下一个页面，比如查询手机欠费的页面，必须输入正确的 11
位码；查询的页面，必须输入 18 位的号才可以进入后续页面。如果没有配置，appscan
怎么知道输入这些信息？所以如果存在“交互式”url，可以选择该 url 以后，鼠标右键，选择手动探索，在 appscan
浏览器中访问这些页面，输入对应的数据，则 appscan 会自动记录这些输入，并填充到扫描配置 - 自动表单填充中。中断链接：看哪些页面在扫描过程中，访问出错或者无法访问，如针对 time out 的页面，就可能是因为网络原因，扫描过程中没有及时响应，可以选择“重试所有中断链接”重新进行访问。
appscan 安全漏洞问题修复.net
appscan按问题类型分类的问题
使用 sql 注入的旁路
已的登录请求
登录错误消息凭证枚举
会话标识未更新
跨站点请求
missing content-security-policy header
missing x-content-type-opti0ns header
missing x-xss-protection header
查询中接受的主体参数
启用了 microsoft asp.net 调试
缺少跨帧---编制防御
已的 __viewstate 参数
检测到应用程序测试---
应用程序错误
整数溢出
|
登录后台
