使用已记录流量创建 API 扫描
如果您有 Web API 的已记录流量，那么您可以将其导入并用作扫描的基础。例如，如果有不属于 Postman 集合的 API 端点，或者如果您有 API 功能自动化，则您可以在 API 自动化运行时记录流量，并将流量馈送到 AppScan 进行安全测试。
开始之前
- 扫描前备份您的站点。
- 如果您尚未这样做，请为扫描创建应用程序。
- 如果无法从因特网访问站点，而且 AppScan Presence 尚不存在于此服务器上：创建 AppScan Presence。
- 如果扫描实时生产站点，请先参阅 我在扫描实时生产站点时应该进行哪些更改？
关于此任务
-
通过 Swagger UI 使用活动记录器记录
- 带有 Postman 或 SoapUI 的 AppScan Standard
- 使用流量记录器
对于 Web API，最佳选项通常是 HCL AppScan 流量记录器。
过程
- 在特定应用程序页中，单击创建扫描，然后单击 DAST 动态分析下的创建扫描。
- 在创建扫描：DAST 对话框中，选择 API 扫描以开始配置过程。
- 选择 API 探索方法“已记录流量”。
- 将文件拖放到标记区域，或单击“添加”图标以浏览并添加包含已记录流量的 dast.config 文件。
-
在“要测试的域”部分中，您必须添加要包括在扫描中的所有已验证/允许的域。这两种格式都有效：
https://demo.testfire.net/demo.testfire.net
重要： 未列出的域不会扫描。 - 根据需要配置其他扫描选项，例如认证、测试策略和其他高级设置。有关更多信息，请参阅创建 API 扫描。
- 单击扫描。将导入记录的流量文件。运行扫描以检测 Web API 中是否存在任何漏洞。
下一步做什么
- 您可以在 扫描和会话页面上查看扫描的状态。