下载地址：网盘下载安全
Rational AppScan（简称 AppScan）实际上是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的 AppScan source edition，到针对 Web 应用进行快速扫描的 AppScan standard edition，以及进行安全管理和汇总整合的 AppScan enterprise Edition 等。咱们常常说的 AppScan 就是指的桌面版本的 AppScan，即 AppScan standard edition。其安装在 Windows 操做系统上，能够对网站等 Web 应用进行自动化的应用安全扫描和测试。测试
AppScan 三个核心要素
AppScan 是对网站等 Web 应用进行安全攻击来检查网站是否存在安全漏洞；既然是攻击，须要有明确的攻击对象吧，好比北约如今的对象就是卡扎菲上校还有他的军队。对网站来讲，一个网站存在的页面，可能成千上万。每一个页面也均可能存在多个字段（参数），好比一个登录界面，至少要输入用户名和密码吧，这就是一个页面存在两个字段，你提交了用户名密码等登录信息，网站总要有地方接受而且检查是否正确吧，这就可能存在一个新的检查页面。这里的每一个页面的每一个参数均可能存在安全漏洞，全部都是被攻击对象，都须要来检查。网站
这就存在一个问题，咱们来负责来检查一个网站的安全性，这个网站有多少个页面，有多少个参数，页面之间如何跳转，咱们可能并不明确，如何知道这些信息？看起来很复杂，盘根错节；那就更须要找到那个线索，提纲挈领；想想，访问一个网站的时候，咱们须要知道的最重要的信息是哪一个？网站主页地址吧？从网站地址开始，不少其余频道，其余页面均可以连接过去，对不对，那么可不能够有种技术，告诉了它网站的入口地址，而后它“顺藤摸瓜”，找出其余的网页和页面参数？OK，这就是“爬虫”技术，具体说，是“网站爬虫”，其利用了网页的请求都是用 http 协议发送的，发送和返回的内容都是统一的语言 HTML，那么对 HTML 语言进行分析，找到里面的参数和连接，纪录并继续发送之，最终，找到了这个网站的众多的页面和目录。这个能力 AppScan 就提供了，这里的术语叫“探索”，explorer，就是去发现，去分析，了解未知的，并记录之。url
在使用 AppScan 的时候，要配置的第一个就是要检查的网站的地址，配置了之后，AppScan 就会利用“探索”技术去发现这个网站存在多少个目录，多少个页面，页面中有哪些参数等，简单说，了解了你的网站的结构。spa
“探索”了解了，测试的目标和范围就大体肯定了，而后呢，利用“军火库”，发送导弹，进行安全攻击，这个过程就是“测试”；针对发现的每一个页面的每一个参数，进行安全检查，检查的弹药就来自 AppScan 的扫描规则库，其相似杀毒软件的病毒库，具体能够检查的安全攻击类型都在里面作好了，咱们去使用便可。操作系统
那么什么是“彻底测试呢”，彻底测试就是把上面的两个步骤整合起来，“探索”+“测试”；在安全测试过程当中，能够先只进行探索，不进行测试，目的是了解被测的网站结构，评估范围；而后选择“继续仅测试”，只对前面探索过的页面进行测试，不对新发现的页面进行测试。“彻底测试”就是把两个步骤结合在一块儿，一边探索，一边测试。.net
AppScan 工做原理小结以下：对象
- 经过搜索（爬行）发现整个 Web 应用结构
- 根据分析，发送修改的 HTTP Request 进行攻击尝试（扫描规则库）
- 经过对于 Respone 的分析验证是否存在安全漏洞
下载地址： 网盘下载