admin管理员组

文章数量:1616807

AppScna绕过登录验证码深入扫描

我们工作中最长碰到的工作场景是网站采用https协议，这时我们要用appScan进行扫描时，就需要先安装证书

安装证书

1.在AppScan中，新建一个文件。点击【文件】，点击【新建】

2.选择【扫描web应用程序】

3.弹出扫描配置向导的窗口，点击【取消】

4.点击【手动扫描】，选择【外部设备】

5.记录代理端口

代理端口是：50491

6.点击右上角的【记录代理配置】

7.点击【记录代理】，在下方有AppScan SSL证书，点击【导出】
这一步，我需要先添加证书：

添加完根证书之后，再添加：

8.选择你喜欢的位置，点击【保存】，将证书保存下来（ZIP压缩包形式）。

9.点击取消

10.解压已经保存的证书，解压出来是appScanRootCert.crt这样一个安全证书

11.切换到火狐浏览器，点击【更多】（右上角的三条横线），点击【设置】

12.在搜索中输入"证书"，点击【回车】，点击【查看证书】

13.弹出“证书管理器”窗口，点击【证书颁发机构】，点击【导入】

14.选择刚才解压出来的证书appScanRootCert.crt，点击【打开】

15.勾选信任证书（两个都勾选上），点击【确定】

16.点击“确定”

手工探测绕过登录（工作中可能用到的小技巧）

扫描过程会遇到网站 存在 手机验证码，图形验证码，滑动验证码，语音验证码等等，这时候想要深度扫描时，就需要进行登录绕过（有时候还有一些验证码存在有效性）。有两种方法可以选择

第一：使用被动手动探索扫描介绍的定制头解决
https://blog.csdn/qq_51550750/article/details/124903226

第二：使用手工探索-外置设备进行登录绕过。就是接下来要介绍的。

如果先开启代理，再登陆，会导致登陆的流量也会被记录下来，会导致重放失败（Cookie都是错的）。所以一定要先登陆，再开启代理。

1.点击【手动探索】，选择【外部设备】

2.记录代理端口


代理端口：50491

3.切到火狐浏览器，进入被测网站，登录

4…点击Foxy Proxy【代理】，点击【选项】

5.点击【编辑】

6.修改AppScan的端口,点击【保存】

7.切换到被测网站（一定要确保自己是登陆状态），点击【代理】，选择【appscan】

8.点击想要测试功能（被测网站进行操作）

比如：

9.点击【停止记录】

10.选择被测网站（勾选），点击【确定】

11.等待流量加载完成（这时候看到有cookie）

12.点击【扫描】，点击【仅测试】

13.等待测试结果

0%

18%

54%

72%

100%

查看扫描结果：

本文标签： 证书AppScan

版权声明：本文标题：AppScan（4）安装证书和绕过登录深入扫描 内容由热心网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://m.elefans.com/xitong/1728746268a1171320.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。