0x00 前言 大家都知道在平时的漏扫中，AWVS、APPSCAN、Netspark、webspectort等漏扫工具扫描出来的漏洞问题往往存在误报，这时我们就需要进行人工手动验证漏洞，这里我们有两种思路： 一是在漏洞工具中，进行多次的重复测试，AWVS、APPSCAN、Netspark、websp ...
分类：
其他好文 时间：
2018-11-28 15:33:57
阅读次数：
430
java python selenium appium request beautifulsoup4 logging xlrd pytest unittest 工具 jmeter D5加密 postman fildder git jenkins appscan Charles monkey ...
分类：
其他好文 时间：
2018-11-17 10:26:43
阅读次数：
187
IBM AppScan是一款非常好用且功能强大的Web 应用安全测试工具，曾以 Watchfire AppScan 的名称享誉业界，Rational AppScan 可自动化 Web 应用的安全漏洞评估工作，能扫描和检测所有常见的 Web 应用安全漏洞，例如 SQL 注入（SQL-injection ...
分类：
移动开发 时间：
2018-09-18 19:52:32
阅读次数：
613
Rational AppScan（简称 AppScan）其实是一个产品家族，包括众多的应用安全扫描产品，从开发阶段的源代码扫描的 AppScan source edition，到针对 Web 应用进行快速扫描的 AppScan standard edition，以及进行安全管理和汇总整合的 AppS ...
分类：
移动开发 时间：
2018-09-06 19:49:56
阅读次数：
194
近期因为修改漏洞：Appscan扫描漏洞：加密会话（SSL）Cookie中缺少Secure属性，而涉及到Cookie有关的知识，现结合该漏洞的修复过程和了解的cookie知识总结一下。 一、加密会话（SSL）Cookie中缺少Secure属性漏洞概述： 任何以明文形式发送到服务器的 cookie、会 ...
分类：
其他好文 时间：
2018-07-26 21:17:00
阅读次数：
167
1.不是所有页面都能扫得到的，很多第三方的页面，比如qq，阿里旺旺等； 2.测试元素过多的情况下扫描时间会成几何倍数增长（一般是超过一万个元素才会出现）； 3.硬件要求比较高，内存至少8g以上、cpu最起码得四核（或者是双核四线程）、固态硬盘最好是要有的，要不然带不动，或者造成响应时间边长，电脑卡顿 ...
分类：
移动开发 时间：
2018-07-13 13:22:50
阅读次数：
728
一、运行Appium失败：未安装.Net Framework 4.5 之前安装AppScan安全测试工具时，就要求.Net 4.5以上环境，我其中一台电脑的系统是Win7-32bit的，安装.Net 4.5一直失败，提示发生严重错误。 当时网上百度了好多方法都没能成功解决这个问题，现在运行Appiu ...
分类：
移动开发 时间：
2018-07-02 13:31:10
阅读次数：
360
JSF项目，用appscan检测，报“会话标示未更新”漏洞，漏洞详情：用户在登陆应用程序前后，其会话标识一样，未进行更新，从而可以窃取或操作客户会话和Cookie，进行查看、变更用户信息及执行事务等操作。推理：测试结果似乎指示存在脆弱性，因为“原始请求”和“响应”中的会话标识相同。这些标志应该已在响应中更新。JSF页面在打开时，就会生成一个sessionid，登录后的sessionid未发生变化。
分类：
其他好文 时间：
2018-05-07 11:06:21
阅读次数：
492
在appscan暴出一个关于跨站点脚本编制的漏洞，但是appscan并不能完整地显示该漏洞。于是，工具是否出现误报，需要通过自己手工验证。 然后，我们需要找到目标参数的包并分析是从哪个步骤提交给服务器的。使用burp手动抓包。 由于当时没有设置好中文编码，导致显示乱码。当时并不影响我们的测试。我们先 ...
分类：
其他好文 时间：
2018-04-25 17:00:40
阅读次数：
176
本文记录了通过AppScan 8.0.3工具进行扫描的安全漏洞问题以及解决方案， 1、使用SQL注入的认证旁路 问题描述： 解决方案： 一般通过XSSFIlter过滤器进行过滤处理即可,通过XSSFIIter过滤一些关键字符。可以参考博文 2、已解密的登录请求 一般通过配置weblogic的ssl进 ...
分类：
移动开发 时间：
2018-04-18 15:17:37
阅读次数：
418
