IBM Rational AppScan Standard(Web网站漏洞扫描器)是一个适合安全专家的Web应用程序和Web服务渗透测试软件。软件是一个比较强大的网站漏洞扫描器，功能强大且使用容易。

基本简介

　　网络扫描是渗透测试的第一步，其目的在于发现目标的操作系统类型、开放端口等基本信息，为后面的扫描工作做基础。事实上，利用操作系统本身的一些命令如ping、telnet、nslookup等也可以对目标的信息进行判断，但是利用专业的工具可以给出更加全面和准确的判断。IBM AppScan该产品是一个领先的 Web 应用安全测试工具，曾以 Watchfire AppScan 的名称享誉业界。Rational AppScan 可自动化 Web 应用的安全漏洞评估工作，能扫描和检测所有常见的 Web 应用安全漏洞，例如 SQL 注入（SQL-injection）、跨站点脚本攻击（cross-site scripting）、缓冲区溢出（buffer overflow）及最新的 Flash/Flex 应用及 Web 2.0 应用曝露等方面安全漏洞的扫描。

软件特色

　　1.测试阶段

　　在第二个阶段，AppScan 将发送它在探索阶段创建的数千个定制测试请求。 它使用定制验证规则记录和分析应用程序对每个测试的响应。 这些规则既可识别应用程序内的安全问题，又可排列其安全风险级别。

　　2.无 Web 服务的站点

　　如果是没有 Web 服务的站点，那么为 AppScan? 提供起始 URL 和登录认证凭证可能足以使其能够测试站点。如有必要，还可以通过 AppScan 手动搜寻站点，以便能够访问仅通过特定用户输入才能到达的区域。

　　3.Web服务

　　为了能够有效扫描 Web Service，AppScan 安装包含一项工具，用户通过它可查看 Web 服务中整合的各种方法，处理输入数据以及检查来自服务的反馈。

　　您首先需要为 AppScan 提供服务的 URL。 集成的“通用服务客户机 (GSC)”使用服务的 WSDL 文件以树格式显示可用的单独方法，并且会创建用于向服务发送请求的用户友好 GUI。您可以使用此界面输入参数和查看结果。此过程由 AppScan 进行“记录”，并且用于在 AppScan 扫描站点时创建针对服务的测试。

　　4.需要用户交互

　　这些是由于需要用户提供 AppScan所无法提供的输入而未发送的请求。您可以配置 AppScan 以提供输入；请参阅“自动表单填充”视图。 如果您遗漏了某些应用程序参数，或选择不使用自动表单填充器，那么 AppScan 将会提供交互式 URL 列表供您复审。

功能介绍

　　1.Flash支持

　　Appscan相对早期的版本增加了flash支持功能，它可以探索和测试基于Adobe的Flex框架的应用程序，也支持AMF协议。

　　2.Glass box testing

　　Glass box testing是Appscan中引入的一个新的功能.这个过程中，安装一个代理服务器,这有助于发现隐藏的URL和其它的问题。

　　3.Web服务扫描

　　Web服务扫描是Appscan中具有有效自动化支持的一个扫描功能。

　　4.Java脚本安全分析

　　Appscan中介绍了JavaScript安全性分析,分析抓取html页面漏洞，并允许用户专注于不同的客户端问题和DOM(文档对象模型)为基础的XSS问题。

　　5.报告

　　根据你的要求，可以生成所需格式的报告。

　　6.修复支持

　　对于确定的漏洞,程序提供了相关的漏洞描述和修复方案.

　　7.可定制的扫描策略

　　Appscan配备一套自定义的扫描策略,你可以定制适合你需要的扫描策略。

　　8.工具支持

　　它有像认证测试，令牌分析器和HTTP请求编辑器等,方便手动测试漏洞.