常見問題


DAST	SAST	IAST
功能濫用強制入侵緩衝區溢位內容偽裝認證/階段作業預測偽造跨網站要求跨網站 Scripting (XSS) 阻斷服務目錄檢索格式字串 HTTP 回應分割資訊洩漏不安全檢索鑑別不足授權不足階段作業期限不足傳輸層保護不足整數溢位 LDAP 注入郵件指令注入惡意內容測試空值位元組注入 OS 接管路徑遍訪可預測的資源位置遠端檔案併入伺服器配置錯誤階段作業固定 SOAP 陣列濫用 SQL 注入 SSI 注入 URL 重新導向程式濫用 XML 屬性爆發 XML 實體擴充 XML 外部實體 XML 注入 XPath 注入	AppDOS 瀏覽器快取機密性資訊註解顯示機密性資訊配置問題跨網站 Scripting (XSS) DB 連線字串操作電子郵件網路釣魚電子郵件篡改需要編碼公開 Web 服務檔案篡改檔案上傳分割 HTTP 要求分割 HTTP 回應 LDAP 注入開放式重新導向 OS 指令注入路徑遍訪潛在商業邏輯問題（亦涵蓋不安全直接物件參照）專用權升級 RegEx 注入移除測試碼 SecondOrder 注入機密資料曝光機密資料儲存在日誌中機密性資訊顯示在錯誤訊息中階段作業管理逾時值太大 SQL 注入未加密通訊 URL 篡改使用加密不安全亂數產生器使用隱藏欄位使用不安全加密法演算法使用不安全原生程式碼低強度存取控制低強度鑑別 XML 注入 XPath 注入 XSLT 注入	不正確的伺服器標頭偽造跨網站要求跨網站 Scripting (XSS) 僅限 HTTP Cookie 不安全的 Cookie 不安全的登入不安全的 Cookie LDAP 注入 OS 接管路徑遍訪階段作業固定 SQL 注入信任界限違規低強度加密低強度亂數 XML 外部實體 XPath 注入

為何我的應用程式風險評級為「不明」？

應用程式的風險評級會根據兩個因素來計算：

找到的問題（由 ASoC）
業務衝擊（由使用者指派）

如果尚找不到任何問題，或如果「業務衝擊」為「未指定」（預設值），則「風險評級」將會是「不明」。如果要變更業務衝擊，請參閱風險評級。

DAST

為什麼我無法再將環境指定為「暫置」或「正式作業」？

DAST 掃描配置直到最近都還包括「暫置」或「正式作業」環境的選擇。這是為了降低掃描影響您的網站穩定性的風險。精靈現在提供的新配置選項使此設定變得多餘，因此已將其移除。相反地，如果您正在掃描正式作業網站，可以考慮進行下列配置變更：

在 「探索」>「自動表單填入」中，清除核取方塊以停用此選項。
在「通訊」>「最大要求率」中，預設值對於大多數正式作業網站應該沒問題，但您可以考慮減少每秒允許的最大要求數，以減少網站流量。

如需更多詳細資料和建議，請參閱下一節。

掃描即時正式作業網站時，我應該進行哪些變更？

如果可能，建議您在暫置網站上執行 DAST 掃描，而不是在正式作業網站上執行。在即時正式作業網站上執行 DAST 掃描可能會影響網站穩定性。必要時，考量下列幾點可協助您有效配置正式作業網站掃描。

資料庫可能充滿掃描期間傳送的人工資訊

您可以採取下列預防措施來減少這方面的影響：

在「探索」>「自動表單填入」中清除核取方塊。
這可確保 ASoC 不會自動填寫表單而提交可能會塞爆資料庫、公佈欄或線上討論區系統的資料，也不會將不想要的電子郵件傳至管理員或控管者的帳戶。不過，您應該知道，這麼做將限制 ASoC 到達網站區域（藉由提交表單來存取）的能力。在這個作業模式中，ASoC 只會掃描遵循連結（包含或不含參數）所能存取的網站區域。
在「通訊」>「最大要求率」中，請考慮減少每秒允許的最大要求數。
建立測試帳戶。
使用測試帳戶可使資料庫變更的追蹤更加容易（例如，確保不會實際訂購服務），以及協助網站管理者在掃描之後清除網站。建立帳戶時，請考慮執行下列部分或全部操作：
- 限制從資料庫中只能存取測試記錄，以便還原修改過的記錄。
- 確定將會刪除測試帳戶所建立的新記錄。
- 確定將會忽略測試帳戶的採購單（或其他交易）。
- 如果交易具有影響力（例如處理股票時），請只允許帳戶存取測試記錄。
- 如果網站有討論區，請只允許測試帳戶存取測試討論區，這樣一來真正的客戶才不會看到測試階段期間所建立的測試。
- 如果網站會針對不同的帳戶提供不同的專用權，請設定多個測試帳戶，賦予不同的專用權。這可確保能夠進行更全面的網站掃描。
- 請勿建立具有管理者層級存取權的測試帳戶。

電子郵件氾濫的風險

當測試使用電子郵件通知的頁面時，ASoC 會產生許多要求，且可能使網站的電子郵件伺服器超載。如果可行，暫時變更所測試頁面上的電子郵件位址，以使電子郵件傳送到無效的電子郵件位址。

測試最佳化：如果它的掃描速度更快，為何我不應該一律使用它？

測試最佳化在您需要更快速的結果時很棒，但是不如非最佳化掃描一般的徹底。我們建議在速度很重要時使用最佳化掃描，但是您也可以在定期間隔以完整掃描來備份。

測試最佳化：我是否可以預期在相同網站上的兩個最佳化掃描結果完全相同？

因為我們的團隊會持續分析並更新設定，所以每次 AppScan 更新都會有改善的最佳化設定，因此即使網站未變更，結果也不一定會相同。不過，在相同的最佳化層次下，不太可能有稍早掃描中顯示出問題的測試，在稍後的掃描被過濾掉的情形發生。

OTP：如何識別 OTP HTTP 參數？

針對使用 OTP（一次性密碼）的 DAST 網站掃描，AppScan 需要知道包含 OTP 的參數名稱（以便能夠登入應用程式），並且通常會在驗證「已記錄的登入」時識別它。如果無法這樣做，或如果您使用自動登入而非已記錄的登入，則必須自行新增參數。

若要識別參數，請執行下列動作：

瀏覽至應用程式的登入頁面。
按一下 F12 以開啟瀏覽器的開發人員工具窗格（在主要瀏覽器窗格的右側或下方開啟）。
按一下「元素」標籤以檢視 HTML 程式碼。
選取程式碼的一部分時，會在主要瀏覽器窗格中強調顯示該元素。
尋找強調顯示 OTP 欄位的元素。
範例：
```
<input type="text" name="OTPvalue" value="">
```
name 參數的值（不含引號）是您需要的 OTP HTTP 參數。
範例：
```
OTPvalue
```
如果有多個 OTP HTTP 參數，請以逗點區隔它們。

DAST 掃描支援哪些通訊協定？

ASoC 可以掃描需要 TLS 1.0、1.1 和 1.2 的應用程式。

目前不支援掃描需要 TLS 1.3 的應用程式。

ASoC 支援連線至 ASoC 服務的是哪個 TLS 通訊協定？

ASoC 支援連線至服務的 TLS 1.2。

為什麼我的重新掃描中「中嚴重性」問題數量增加？

原本使用 DAST 引擎 v10.2.0 之前的版本執行重新掃描時，在重新掃描中發現的「中嚴重性」問題比原始掃描中更多。

從 AppScan DAST 引擎 10.2.0 版開始，CWE 問題嚴重性和 CVSS 評分是以 CVSS 3.1 版為基礎。使用舊版 DAST 引擎執行的掃描採用 CVSS 2.0 評分。一些在舊版中被指定為「低嚴重性」的問題在 10.2.0. 版中被指定為「中嚴重性」，導致「中嚴重性」問題增加。這會在未來的 DAST 引擎版本中進行變更。

SAST 與 SCA

何謂靜態分析 IRX 檔案以及它包含什麼內容？

IRX 是一個安全且加密的 zip 保存檔，其中包含執行程式完整靜態分析的必要資訊。在建立後待用及傳輸至雲端期間（透過 SSL）會進行加密。

IRX 保存檔在內部包含這些檔案和構件：

針對可部署的程式構件的專有及模糊呈現，這是從您已部署的原始碼（例如，Java 位元組碼或 .Net MSIL）所建置。如果要瞭解靜態分析掃描支援哪些語言，請參閱靜態分析的系統需求。
所有與程式一同部署的執行時期 Script 檔都可加以分析以找出安全漏洞（例如 .js (Javascript) 或 .rb (Ruby) 檔案）。
Static Analyzer 配置檔，其中說明應用程式或專案階層以及程式的關係或相依關係。這可在應用程式內跨越專案界限進行精確且完整的安全分析。
在建立保存檔期間所產生的 Static Analyzer 日誌檔（用於診斷和支援）。

SCA 問題的 CVSS 版本？

儘管 ASoC 會顯示為 DAST 問題評分的 CVSS 版本，但有時可能不會顯示 SCA 問題評分的 CVSS 版本。