扫描实时生产环境
通过 AppScan 扫描实时站点之前应考虑以下风险和建议。
扫描实时站点时,可使用预定义“生产站点”模板。该模板包含了特别选择的“生产站点”测试策略,以及设计用于最小化实时站点被破坏的风险或导致实际用户的“拒绝服务”风险的配置设置。
如果选择使用您自己的配置或测试策略,以下部分可帮助您有效地配置扫描。
数据库可能会被扫描期间发送的人工信息所充满
可通过采取以下预防措施来减少上述情况造成的影响:
- 禁用自动表单填充(扫描配置 > 自动表单填充 > 第一个复选框)。
这将确保 AppScan® 不会自动填写表单(从而避免提交可能会大量涌入数据库、公告牌或在线论坛系统的数据),也不会向管理员或版主帐户发送不需要的电子邮件。但是,您应该注意,这样做将限制 AppScan® Standard 到达通过提交表单来访问的站点区域的能力。在此运行方式下,AppScan® 将仅扫描可通过点击链接(带有或不带参数)来访问的站点区域。
- 创建供 AppScan® 使用的测试帐户。
使用测试帐户可更加轻松地跟踪数据库更改(例如,确保服务实际上未被订购),并帮助站点管理员在扫描后清理站点。
创建帐户时请考虑以下建议:- 将数据库访问限制为仅测试记录,以便可以恢复已修改的记录。
- 确保将删除测试帐户所创建的新纪录。
- 确保将忽略测试帐户的采购订单(或其他交易)。
- 如果交易具有某种影响(如处理库存时),那么仅允许对测试记录的帐户访问权。
- 如果站点包含论坛,那么将仅允许对测试论坛的测试帐户访问权,以使真实客户不会看到在测试过程中创建的测试。
- 如果站点具有针对不同帐户的不同特权,请设置多个具有不同特权的测试帐户。这将确保更加全面地扫描站点。
- 请不要创建具有管理员级别访问权的测试帐户。
电子邮件泛滥风险
测试使用电子邮件通知的页面时,AppScan® 会生成许多请求并可能使站点的电子邮件服务器超负荷。
以下一个或多个建议可帮助解决此问题:
- 临时更改所测试的页面上的电子邮件地址,以便该电子邮件发送到无效的电子邮件地址。
- 如果可行,请配置 AppScan® 以从生产扫描中排除这些页面。
- 一次仅扫描一台 Web 服务器,并避免其在扫描期间连接到 SMTP 服务器。
- 如果决定保持启用“自动表单填写”,请将其配置为在电子邮件字段中插入唯一值,以便收件人可轻松识别由 AppScan® 生成的电子邮件。
通过代理扫描
如果可能,请避免通过代理扫描。尽管支持这样的操作,但代理有时会使结果难以理解。
扫描被锁定在应用程序外的风险
某些应用程序配置为在一定数量的错误登录尝试后将用户锁定在外。如果在扫描期间发生此情况,那么 AppScan® 显然将无法完成扫描。
要避免这种情况:
- 禁用将测试发送到登录和注销页面(扫描配置 > 测试选项)。
导致应用程序故障的风险
为避免 AppScan® 导致实时应用程序发生故障的风险,您可能需要停用测试策略中的侵入式测试。这将确保不会发送“拒绝服务”、“缓冲区溢出”或其他可能导致应用程序或 Web 服务器发生故障的测试。
要禁用当前测试策略中的侵入测试,请执行以下操作:
- 打开配置 > 测试策略。
- 单击侵入列,以将所有侵入测试分组到一起。
- 向下滚动侵入测试(“侵入”值为“Yes”的测试),并取消选择所有当前已选择的测试,以从扫描中将其排除。