APPScan

简介

由IBM开发的APPScan能够检测常见的Web应用安全问题。该工具提供黑盒测试等技术方案（代码审计）。

原理

随后根据起始页面获取所有可见页面并同时考察常见的管理后台系统运行状态。在获取页面后运用SQL注入原理来探索是否存在注入点以及潜在的一级跨站脚本攻击的可能性，并对 cookie、session 以及 会话周期等 Web 安全漏洞的状态进行深入分析。支持的功能包括 登录功能、报表生成、详细漏洞解析等内容，并提供修改建议和手动验证选项。然而该软件的价格极为高昂。

工作方式

1. 静态型的源代码解析即为静默数据分析。
2. 动态型的实时性评估即为动态型评估。
3. 混合型的综合评估即为混合型评估。
4. 运行时行为的观测属于不可见程序运行时行为的观测。
5. 客户端端点的安全性检测通常基于JavaScript脚本的安全性检查。

扫描流程

扫描配置：范围界限与登录流程设置相关联；通过表单筛选实现数据过滤；设定客户化参数以满足特定业务需求；采用专门的扫描专家工具；通过代理功能实现外部服务接入
**探索