「要求/回應」標籤
「明細窗格」的第四個標籤就是「要求/回應」標籤。
要求/回應標籤提供測試及其特定變式(已傳給您的 Web 應用程式來探索其弱點所在)的相關資訊。一項測試可能會有多個變式。變式是 AppScan 傳給 Web 應用程式伺服器之原始測試要求的小幅變更。(AppScan 首先是傳送一個意在合法且遵循應用程式商業邏輯的要求。之後,其會傳送為了探索應用程式如何處理不合法或錯誤要求而修改過的類似要求。每個測試要求都可能有許多變式,變式數量必須足以涵蓋廣泛的 AppScan 資料庫中的所有安全規則。)
例如,假設傳送一項測試來檢查您是否強制執行特定參數的使用者輸入規則。有一個變式可能會檢查單引號不是有效的輸入,另一個則用來檢查不允許引號。
紅色文字是變式本身,黃色強調顯示驗證(回應中指出安全問題是否存在的部分)。
除了大量說明資訊,要求/回應標籤也提供有助於理解及使用掃描結果的進階特性。
要求/回應標籤有兩個窗格,其最上方有自己的工具列。以下顯示工具列和標籤,下表加以總結。
工具 |
功能 |
---|---|
變式 < > |
指出現行測試的變式數目。 按一下 < 和 > 圖示會分別切換至前一個變式及下一個變式。 |
測試/原始 |
切換「原始」和「測試」資訊。 |
下一個強調顯示 |
(強調顯示驗證文字之處可用)。將游標移至下一個強調顯示的文字。 |
在瀏覽器中顯示 |
開啟內建的瀏覽器來顯示現行頁面,其中含有從瀏覽器擷取畫面的選項。 當瀏覽器開啟時,您可以按一下瀏覽器工具列的「相機」圖示 ,以取得頁面的擷取畫面。擷取畫面會新增至「問題資訊」標籤。 |
選項 > 報告誤判 |
用來透過電子郵件,將現行變式郵寄給「AppScan® 支援團隊」,或在企業內部郵寄現行變式。(請參閱報告誤判測試結果。) |
選項 > 手動測試 |
修改測試,並將它儲存成一項手動測試。(請參閱手動測試。) |
選項 > 刪除變式 |
從測試結果中,永久刪除所選的變式(不可回復)。在「結果」窗格中,用滑鼠右鍵按一下變式,也可以執行這個動作。 |
選項 > 設為無漏洞 |
將所選變式的定義改成「無漏洞」。 從掃描結果中移除使用者改成無漏洞的錯誤回應,它們不會出現在報告中,但透過「無漏洞變式」清單,仍可以檢視它們(並加以恢復)。(請參閱無漏洞變式清單。) |
選項 > 設為錯誤頁面 |
將現行頁面新增到錯誤頁面清單中(「掃描配置」對話框 > 錯誤頁面),再更新結果來反映這個回應是一個錯誤頁面的事實。 |
選項 > 新增至問題資訊 |
執行現行問題的「結果檢閱」,將任何新的可用資訊加到「問題資訊」標籤中。 |
尋找 |
輸入要搜尋特定字串的文字。(請參閱在結果清單中過濾安全問題。) |
變式詳細資料 |
右窗格顯示現行變式的詳細資料:ID、說明、差異(這個變式與原始要求之間的差異)、推論與 CWE ID。 |