一次性密码 (OTP)

如果应用程序需要，请配置 AppScan® 以在登录时使用 OTP。

如果应用程序使用 OTP，请选择两个选项中的一个，否则保留缺省设置：无。

记录登录过程时，AppScan 会从流量中抽取相关参数，并将其添加到“自动表单填充”列表中。这些参数还会显示在 OTP 视图的下半部分。如果 AppScan 未能识别这些参数，那么您必须在此视图或“自动表单填充”视图中自己添加这些参数。
限制：
  • 每个扫描仅支持一个 OTP 类型（TOTP 或 URL 生成的 OTP）。
  • 对于 TOTP，仅支持数值。
选项 描述

TOTP
对于基于时间的一次性密码，您必须向 AppScan 提供：
  • 密钥
  • 密码长度（字符数）
  • 使用的散列算法（从下拉列表中选择）
  • 时间步长（以秒为单位）
提示： AppScan 机器和测试服务器上的时间都必须准确。

URL 生成的 OTP
如果可以从指定 URL 访问 OTP，那么可以将 AppScan 配置为从 URL 响应中抽取 OTP。您必须向 AppScan 提供：
  • URL
  • 将识别 URL 响应中 OTP 的正则表达式。

无

站点不使用 OTP，或者不需要扫描那些使用 OTP 的页面。
详细信息

OTP HTTP 参数

如果已选择其中一个 OTP 类型，那么在验证记录登录过程时，AppScan 将从流量中识别所需的必需参数，并将其添加到“自动表单填充”列表中。这些参数也将在此处显示。

如果 AppScan® 未能识别这些参数，或者您使用自动登录，那么您必须手动添加这些参数。这些参数必须以逗号分隔。

如何识别 OTP HTTP 参数

AppScan 需要知道包含 OTP 的参数的名称（以便能够登录到应用程序），并且通常在验证记录登录过程时识别该参数。如果其未能识别该参数，或者您使用自动登录，那么您必须手动添加该参数。

要识别参数：
  1. 打开浏览器并转到应用程序的登录页面。
  2. 单击 F12 打开浏览器的开发人员工具窗格（在主浏览器窗格的右侧或下方打开）。
  3. 单击“元素”选项卡以查看 HTML 代码。

    当您选择代码的一部分时，该元素会在主浏览器窗格中突出显示。

  4. 找到突出显示 OTP 字段的元素。
    示例：
    <input type="text" name="OTPvalue" value="">
  5. name 参数的值（不带引号）就是您需要的 OTP HTTP 参数。
    示例：
    OTPvalue
  6. 如果有多个 OTP HTTP 参数，请用逗号分隔这些参数。