APPSCAN安全测试

Question

使用最新版APPSCAN进行安全测试的时候，最初使用账号和密码成功登录了会话模式。
结果是扫描的过程中，过了30分钟后，告诉我会话状态丢失了，扫描失败
这个系统有个规则，如果密码登录失败次数达到了5次以上，账号就会被锁定，还有密码是加密存储的。
有什么办法解决这个扫描过程中，会话丢失的问题吗？

Answer 1

引自免费微信小程序：皆我百晓生

面对APPSCAN在安全测试中遇到的会话丢失问题，可以采取多方面策略来解决。首先，确保基础设置正确无误，比如验证登录配置、检查凭证有效性等，这些步骤已经在图1中提及。除此之外，可以考虑以下进阶方案：

1. 优化登录机制

• 使用更稳定的登录方式：尝试使用OAuth或其他第三方认证服务，这些服务通常有更稳定的会话管理机制。
• 增加会话保持时间：如果可能，与应用开发团队沟通，请求延长会话的生命周期，或设置自动刷新机制。

2. 自动化处理

• 实现登录过程的自动化：利用Selenium或类似的工具，创建一个脚本，当检测到会话失效时自动重新登录。这可以通过监听特定错误码或页面元素的变化来触发。

  from selenium import webdriver
  from selenium.webdriver.common.keys import Keys
  
  driver = webdriver.Firefox()
  driver.get("http://www.yourwebsite.com")
  
  elem = driver.find_element_by_name("username")
  elem.clear()
  elem.send_keys("your_username")
  
  elem = driver.find_element_by_name("password")
  elem.clear()
  elem.send_keys("your_password")
  elem.send_keys(Keys.RETURN)
  

• 定期执行健康检查：设置定时任务，每隔一段时间检查会话状态，一旦发现会话过期立即执行重新登录的逻辑。

3. 调整扫描策略

• 分段扫描：将大扫描任务拆分为多个小任务，每个任务之间有足够的间隔，以便处理潜在的会话问题。
• 动态调整扫描速度：根据会话的稳定性调整扫描速率，减少对服务器的压力，避免触发安全机制。

4. 与开发团队协作

• 获取开发支持：与应用程序的开发团队紧密合作，了解其会话管理和安全机制的细节，寻求他们的建议或定制解决方案。
• 反馈问题：向APPSCAN的支持团队报告此问题，他们可能有专门的解决方案或补丁可以提供。

5. 环境和网络优化

• 稳定网络环境：确保扫描期间网络连接稳定，避免因网络波动导致的会话中断。
• 优化服务器资源：确保服务器有足够的资源处理扫描任务，避免因资源不足触发安全机制。

通过上述措施，可以显著提升安全测试的稳定性和成功率，减少会话丢失带来的影响。