appscan-appscan扫描-华克斯(商家)

appscan测试移动应用程序安全性

appscan 会以 http&html 标准格式来识别参数，如果参数是以其他格式构建的（比如 restful 消息），必须手工配置 appscan 才能进行有效的解析参数，从而进行扫描。

移动应用程序和人们的生活联系日趋紧密，应用程序的安全性问题也得到越来越多的重视。移动应用程序的交互模式和常用的网络协议，基于 ibm security appscan 提供了测试移动应用程序安全性的方法介绍和实践：包括如何配置 appscan 使其适应移动测试的特性；如何使用 appscan 进行参数配置，使其可解析主流的 restful 消息。

appscan分阶段测试

appscan 的扫描过程分为“探索”和“测试”两个阶段，默认情况下，使用的是完全扫描模式，即是边探索边测试的。如果网站比较大，appscan正版，建议考虑先探索后测试的模式。

如当 url 达到 5000，需要进行的测试达到 50000 的时候，可以暂停扫描，手工停止探索，选择“继续仅测试”。对已经发现和分析的页面进行测试，测试完毕，再来选择“继续仅探索”，即：

继续仅探索 --- 继续仅测试—继续仅探索 - 仅测试的一个循环过程。

在这个过程，一个阶段结束以后，建议查看下 .scan 文件的大小，如果大小超过了 500m，则建议考虑任务分解，可以根据目录把一个扫描任务分解为多个，或者根据扫描策略来进行分解。

该方法是利用了 appscan 扫描过程中，探索测试可以分离，而且支持扫描过程中断后继续扫描的特性。