圖解安全掃描工具 AppScan使用
IBM Rational AppScan 是一個面向 Web 應用安全檢測的自動化工具，使用它可以自動化檢測 Web 應用的安全漏洞。
比如跨站點腳本攻擊（Cross Site Scripting Flaws）、注入式攻擊（Injection Flaws）、失效的訪問控制（Broken Access Control）、緩存溢出問題（Buffer Overflows）等等。
這些安全漏洞大多包括在 OWASP（Open Web Application Security Project，開放式 Web 應用程序安全項目）所公布的 Web 應用安全漏洞中。
1/8
打開AppScan軟件，點擊工具欄上的 文件–> 新建，點擊 “Regular Scan”，出現掃描配置向導頁面，這里是選擇“Web應用程序掃描，如下圖所示：
2/8
點擊”下一步“，出現URL和服務器的配置頁面，如圖，輸入需要測試的URL
特別說明：
在“起始URL”下面輸入需要啟動掃描的URL，如果勾選了“僅掃描此目錄中或目錄下的鏈接”（如下圖），則會只掃描起始URL目錄或者子目錄中的鏈接。
舉例：如果我們的網站www.sina.com.cn下面有兩個目錄test1和test2，當起始URL中輸入"http://www.sina.com.cn/test1/"並勾選“僅掃描此目錄中或目錄下的鏈接”的時候，appscan不會掃描“www.sina.com.cn/test2”目錄下的所有鏈接。
另外，如果被掃描對象的主機是unix或者linux，建議勾選下面的“將所有路徑作為區分大小寫來處理（Unix、Linux等）(T)”選項（如下圖），因為unix或者linux是對大小寫敏感的；如果被掃描對象的主機是windows主機，則沒有必要勾選此項。
如果掃描的時候需要順便掃描其它的服務器或者域，則需要在底下的“其它服務器和域”中添加對應的路徑，如下圖所示：
3/8
點擊”下一步“，出現登錄管理的頁面，這是因為對於大部分網站，需要用戶名和密碼登錄進去才可以查看許多內容，未登錄的情況下就只可以訪問部分頁面。
最常用的登錄方法有兩種：記錄和自動，如下圖所示：
4/8
點擊”下一步“，出現測試策略的頁面，可以根據不同的測試需求進行選擇，這里選擇的是”完成（Complete）“，即進行全面的測試
如果需要在登錄注銷頁面上進行攻擊測試，則需要勾選“發送登錄和注銷頁面上的測試”兩個勾選框（如下圖），然后點擊下一步，如下圖所示：
5/8
點擊”下一步“，出現完成配置向導的界面，這里使用默認配置，可根據需求更改，如下圖所示：
6/8
點擊”完成“，設置保存路徑，即開始掃描，如下圖所示：
7/8
待掃描專家分析完畢，點擊”掃描 –> 繼續完全掃描“即可
8/8
等待測試完畢，即可分析結果