下載地址：網盤下載安全
Rational AppScan（簡稱 AppScan）實際上是一個產品家族，包括衆多的應用安全掃描產品，從開發階段的源代碼掃描的 AppScan source edition，到針對 Web 應用進行快速掃描的 AppScan standard edition，以及進行安全管理和彙總整合的 AppScan enterprise Edition 等。咱們常常說的 AppScan 就是指的桌面版本的 AppScan，即 AppScan standard edition。其安裝在 Windows 操做系統上，能夠對網站等 Web 應用進行自動化的應用安全掃描和測試。測試
AppScan 三個核心要素
AppScan 是對網站等 Web 應用進行安全攻擊來檢查網站是否存在安全漏洞；既然是攻擊，須要有明確的攻擊對象吧，好比北約如今的對象就是卡扎菲上校還有他的軍隊。對網站來講，一個網站存在的頁面，可能成千上萬。每一個頁面也均可能存在多個字段（參數），好比一個登錄界面，至少要輸入用戶名和密碼吧，這就是一個頁面存在兩個字段，你提交了用戶名密碼等登錄信息，網站總要有地方接受而且檢查是否正確吧，這就可能存在一個新的檢查頁面。這裏的每一個頁面的每一個參數均可能存在安全漏洞，全部都是被攻擊對象，都須要來檢查。網站
這就存在一個問題，咱們來負責來檢查一個網站的安全性，這個網站有多少個頁面，有多少個參數，頁面之間如何跳轉，咱們可能並不明確，如何知道這些信息？看起來很複雜，盤根錯節；那就更須要找到那個線索，提綱挈領；想想，訪問一個網站的時候，咱們須要知道的最重要的信息是哪一個？網站主頁地址吧？從網站地址開始，不少其餘頻道，其餘頁面均可以連接過去，對不對，那麼可不能夠有種技術，告訴了它網站的入口地址，而後它「順藤摸瓜」，找出其餘的網頁和頁面參數？OK，這就是「爬蟲」技術，具體說，是「網站爬蟲」，其利用了網頁的請求都是用 http 協議發送的，發送和返回的內容都是統一的語言 HTML，那麼對 HTML 語言進行分析，找到裏面的參數和連接，紀錄並繼續發送之，最終，找到了這個網站的衆多的頁面和目錄。這個能力 AppScan 就提供了，這裏的術語叫「探索」，explorer，就是去發現，去分析，瞭解未知的，並記錄之。url
在使用 AppScan 的時候，要配置的第一個就是要檢查的網站的地址，配置了之後，AppScan 就會利用「探索」技術去發現這個網站存在多少個目錄，多少個頁面，頁面中有哪些參數等，簡單說，瞭解了你的網站的結構。spa
「探索」瞭解了，測試的目標和範圍就大體肯定了，而後呢，利用「軍火庫」，發送導彈，進行安全攻擊，這個過程就是「測試」；針對發現的每一個頁面的每一個參數，進行安全檢查，檢查的彈藥就來自 AppScan 的掃描規則庫，其相似殺毒軟件的病毒庫，具體能夠檢查的安全攻擊類型都在裏面作好了，咱們去使用便可。操作系統
那麼什麼是「徹底測試呢」，徹底測試就是把上面的兩個步驟整合起來，「探索」+「測試」；在安全測試過程當中，能夠先只進行探索，不進行測試，目的是瞭解被測的網站結構，評估範圍；而後選擇「繼續僅測試」，只對前面探索過的頁面進行測試，不對新發現的頁面進行測試。「徹底測試」就是把兩個步驟結合在一塊兒，一邊探索，一邊測試。.net
AppScan 工做原理小結以下：對象
- 經過搜索（爬行）發現整個 Web 應用結構
- 根據分析，發送修改的 HTTP Request 進行攻擊嘗試（掃描規則庫）
- 經過對於 Respone 的分析驗證是否存在安全漏洞
下載地址： 網盤下載