IBM Security AppScan Standard 用外部設備錄制腳本（手機端應用、app、微信等）進行安全測試

一、打開AppScan，選擇外部設備/客戶機，點擊下一步

二、記錄代理設置，可以手動輸入需要的端口號，也可以自動選擇，記住端口號以及PC電腦的ip地址，手機端如何設置對應的端口跟ip可以參考

Jmeter(十三)用Jmeter自帶錄制工具代理錄制手機端應用腳本APP腳本，原理是一樣的

三、SSL證書，點擊下一步

四、登陸管理，點擊下一步，

選擇“是”

五、選擇測試策略，點擊下一步

 

 六、完成掃描配置向導

 點擊完成之后，會彈出錄制窗口

七、外部流量記錄器

這個時候，可以操作外部機器對需要掃描的功能模塊進行錄制，

檢測到的域：記錄外部機器操作時所產生的域名及URL，可以進行篩選，如果出現多余的其他域，也可進行刪除

發送的請求：記錄外部機器操作時對應的功能模塊的http請求，js等

腳本錄制成功之后，點擊停止記錄，腳本即完成了。

 

通過將 AppScan 用作記錄代理來進行手動探索時，該記錄器將顯示檢測到的域和接收到的流量，並使您能夠控制將對這些項中的哪些進行測試。該記錄器的受限版本用於對登錄序列進行記錄。

當您單擊 手動探索 > 使用外部設備時，“外部流量記錄器”將打開。

項目	描述
代理連接狀態	顯示是否正在記錄入局連接，以及其他狀態消息。
偵聽端口	顯示已分配給此記錄器的當前端口。 要更改該端口，或任何其他記錄代理配置，均請單擊記錄代理配置（有關詳細信息，請參閱“記錄代理”選項卡）。
已記錄流量
檢測到的域（左窗格）	在已記錄流量中檢測到的所有域的列表。 選擇應包含在掃描中的域。 關閉此記錄器時，所有已選域都會添加到“其他服務器和域”列表（配置 > URL 和服務器 > 其他服務器和域）並將包含在掃描中。
已發送的請求（右窗格）	顯示“手動探索”期間已記錄的所有請求。來自左窗格中已選域的請求將以黑色顯示；其他請求將以灰色顯示。 要僅查看來自所選域的請求，請單擊隱藏來自已過濾域的請求復選框 要從列表中刪除與掃描不相關的單獨請求，請選擇相應請求，然后單擊 “一”減號圖標
導出	單擊可導出記錄以在另一台機器上使用。僅在記錄已停止后，該按鈕才會被激活。
應用“探索”階段冗余調整	（缺省情況下已選中）選中后，“探索”階段冗余調整（配置 >“參數和 Cookie”選項卡 > 冗余調整缺省值 > 探索）將在您關閉對話框時應用於當前記錄，以幫助避免重復的請求。 請僅在選中該復選框會導致“手動探索”中的 cookie 缺失的情況下清空該復選框。
停止記錄	停止記錄，同時保留對話框處於打開狀態，以查看和編輯列表。 注： 一旦您停止記錄，便無法在不丟棄當前數據的情況下重新啟動記錄。
確定	關閉對話框，並將所有當前已選域添加到掃描中包含的其他服務器和域的列表（配置 > URL 和服務器 > 其他服務器和域）。

 

八、錄制好需要的場景或者對應的腳本之后，點擊完成，后續就可以進行對應的掃描工作了