攻击政策
此面板允许您选择攻击类型、攻击位置(如目录、文件或路径)和其他属性的列表。
以下元素可在此面板:
攻击策略模板
该下拉列表中包含可用的攻击策略和加载按钮，用于加载选中的模板。预定义攻击模板如下:
- 所有模块- 启用所有攻击模块．此模板提供了最全面的漏洞覆盖范围，但也需要最多的资源。如果可能，您应该在使用此攻击模板时本地举办应用程序，以便它不会影响客户面向客户的网站的性能。
- 只有爬行—取消选择所有攻击模块。这个模板列出了应用程序中所有网页的清单，并帮助你理解其拓扑结构。你可以运行一个未经认证的抓取扫描来发现你的应用程序的所有公共资源，或者一个认证扫描来列出所有内部和外部资源。点击扫描页面上的爬行地图按钮，就会显示通过扫描发现的应用程序的拓扑。
- OWASP 2013- 实现与最关键的Web应用程序安全风险相关的攻击OWASP 2013报告。
- OWASP 2017- 实现与最关键的Web应用程序安全风险相关的攻击OWASP 2017报告。
- 被动分析——允许只被动分析模块．
- SQL注入- 包括所有SQL注入相关攻击。
- XSS—开启所有与之相关的攻击跨站脚本．
- SQL注入和XSS- 在许多现实生活场景中，攻击者使用SQL注入和跨站点脚本漏洞的组合来从应用程序中收集敏感数据。此模板为您提供了应用程序中此类漏洞的整体情况。
请注意
如果要更改当前策略，必须从“攻击策略模板”下拉列表中切换模板，然后单击加载按钮以应用其设置。
您可以使用使用的自定义策略将当前所选模块保存为自定义策略节省按钮。自定义策略位于“攻击Policy”目录下的AppSpider数据文件夹中。每个策略都位于单独的文件中。如果自定义策略名称与扫描仪默认策略名称匹配，则自定义策略将覆盖扫描仪默认策略。
该界面在攻击策略模板列表中使用用户策略合并默认扫描仪策略。
攻击策略标签
攻击策略选项卡允许您配置以下属性：
财产 |
描述 |
|---|---|
攻击策略名 |
攻击策略模板的名称。 |
事件优先级 |
控制在目标url上运行AppSpider攻击的顺序。 |
攻击/输入 |
控制AppSpider在每个链接上运行的攻击数量。 |
攻击集合 |
价值观: |
浏览器的编码 |
许多Web应用程序和防火墙测试传入请求针对有限的字符编码集，例如UTF-8和UTF-16。AppSpider使用各种字符编码进行攻击流量，因此它可以通过防火墙并攻击您的应用程序。“浏览器编码”字段指示appspider仅在浏览器的默认编码中仅被攻击。 |
误报正则表达式 |
AppSpider可能会错误地将应用程序的某些页面与4xx错误代码关联起来。如果您认为您的web应用程序中的合法消息被标记为漏洞，您可以将其内容添加到假阳性正则表达式字段，以防止假阳性结果。 |
模块策略选项卡
攻击模块包含漏洞的详细信息和AppSpider用于测试该漏洞的逻辑。“模块策略”列表中列出了所有攻击模块，显示信息如下:
- 模块名称-识别AppSpider将检测到的漏洞，如SQL注入或文件遍历。
- 类型- 模块是一种主动还是被动攻击。
- 被动的-这些攻击不会主动发送有效载荷到你的网站-例子包括错误配置的标题或丢失的标签，如“自动完成”。
- 积极的-这些修改查询字符串，POST和GET请求，以搜索漏洞，需要主动操纵您的网站。示例包括SQL注入和操作系统命令。
- 严重程度- 可以根据其对您的需求的影响来修改默认严重性，例如增强的合规需求。
- 最大调查结果- 在我们忽略后续发现之前，我们将报告的调查结果数。这些在网站范围发现的情况下都很有用。例如，如果您的应用程序具有错误配置的标题，则会影响整个站点。报告您网站的每个页面的漏洞只会增加警报疲劳。此示例通常在一个位置进行修复 - 服务器配置。
- 描述- 模块目标的简要概要。
攻击位置选项卡
此屏幕包含使用选项选择攻击位置的攻击列表，例如目录，文件，查询和帖子。
您可以使用此屏幕防止在未选定的位置上运行攻击。例如，如果应用程序上的新评论触发了通知电子邮件，您可能会决定防止攻击在“Post”位置运行。