qtp是什么测试工具,APPscan

在搜索：搜索阶段，Appscan试图遍历站点中的所有可用链路以构建分级结构。 提出请求，根据响应确定哪里是漏洞的影响范围。 例如，查看登录页面时，您将确定通过验证，方法是绕过注入。 在探索阶段不进行任何攻击，只是确定测试方向。 在此阶段，您将从提交的多个请求中确定网站结构和要测试的漏洞范围。

在测试(Test )测试阶段，Appscan通过攻击来测试APP应用程序中的漏洞。 通过释放实际攻击的有效载荷，识别搜索阶段建立的安全漏洞状况，并根据风险严重程度进行排名。 由于在测试阶段可能会找到指向网站的新链接，因此Appscan将在搜索和测试阶段完成后开始另一次扫描，并重复上述过程直到可以测试新链接。 扫描次数也可以通过用户的设定进行设定。

获取appscan的最新安装软件包。

2、安装步骤：

安装appscan9.0.1软件：执行“APPSCAN_STD_901_EVA_WIN_ML.exe”。

安装appscan9.0.1.1修补程序，然后运行9.0.1.1-AppScan.msp。

c .解密并使用AppScan Standard目录替换LicenseProvider.dll。

d .选项“SEC_WEB_SER_EXP_901_ML_EVA.exe”

3、使用说明书

【创建扫描任务】

【普通扫描】

【自动或手动探索】

【扫描开始URL】

【记录(推荐)】

【使用Appscan浏览器(推荐)

【输入用户名和密码】登录成功后关闭浏览器

【测试策略】

                                                                                                                          【访问URL】

                                                                                                                               【登录系统】

                                                                                                                【探索结束关闭浏览器】

                                                                                                        【添加所有URL】

                                                                                                           【扫描专家】

                                                                                                                【忽略专家建议】

                                                                                                             【执行扫描】

                                                                                                                             【选择报告内容】

                                                                                                                          【保存报告】

                                                                                                                           【查看报告】

注意事项：

1. 登录管理以及登录状态检验

登录方法，采用记录（推荐）的方式

2. 环境定义

尽量提供准确，Appscan会根据这些环境准备特定测试用例

3. 参数和cookie

要跟开发确认是否有些导航参数，譬如struct中的action参数，要在此做特定设置

http://domain:port/Apple

http://domain:port/Apple?ID=1

http://domain:port/Apple?ID=2

http://domain:port/Apple?Action=Delete

http://domain:port/Apple?Action=Add

4. 通信和代理

超时尽量放大

5. 探索方式

目前页面很多都是js计算出来的跳转，利用Appscan自动探索很难找全页面，尽量手工探索所有页面。

6. Other tips

a) Appscan很多工具不错，譬如Traffic Viewer，尽量采用这个工具来观察Appscan测试的HTTP请求和响应，如果响应是500的话，要具体分析，是否是超时等，如果是超时的话，尽量降低线程数量，提高超时设置。

Traffic Viewer安装路径：

D:Program Files (x86)IBMAppScan StandardToolsTraffic Viewer