AppScan でカスタム スクリプトを統合して DAST スキャンを強化

1. 「ツール」 > 「オプション」 > 「拡張」タブに移動します。
2. CustomScripts.Enable 設定を「False」に設定します。

1. 構成設定の「詳細」セクションの「カスタム・スクリプト」を選択します。
2. 「+ 追加」ボタンをクリックします。
3. 必要に応じて、事前入力された「名前」フィールドを編集します。
4. スクリプトに適した「実行コンテキスト」を選択します。:
   1. 要求を送信する前にスクリプトを実行するための「事前要求」。
   2. 応答を受信した後にスクリプトを実行するための「事後応答」。
   3. 複数の手順やフォームへの入力を伴うタスクの「パラメーター」。このコンテキストを setResultValue メソッドと組み合わせて使用すると、スクリプトが AppScan に結果を返すことができます。
5. JavaScript フィールド (コードエディター) に JavaScript を入力し、AppScan 環境内で自動補完候補を表示するには Ctrl+Space を使用します。

   AppScan でサポートされている JavaScript バージョンとの構文の正確性および互換性についてスクリプトを検証します。詳細なガイドラインについては、「JavaScript コード」を参照してください。

   Tip: 構文エラーはコード・エディター内で強調表示され、ツールチップで識別できますが、スクリプトの実行を妨げるものではありません。

   

   例 1: ログインの詳細を要求に自動的に追加します (ログイン管理構成を使用しない)。

   // Before each request
   if(request.method == "POST") {
       request.body = JSON.stringify({
           "username": "jsmith",
           "password": "demo1234"
       })
   }

   例 2: 応答からの API キーをグローバル変数に保存します。

   // After each response
   try {
           var result = JSON.parse(response.body)
           log(`parsing: ${JSON.parse(response.body).Authorization}`)
           if(result.Authorization) {
               environment.globalVariables.addOrUpdate("Authorization", result.Authorization)
               log(`key = ${result.Authorization}`)
           }
   }
   catch (error) {
           log(error)
   }

   例 3: 許可 API キーが存在する場合は、許可 API キーをヘッダーに付加します。

   // Before each request
   var authorization = environment.globalVariables.get("Authorization")
       if(authorization) {
           request.headers.set("Authorization", authorization)
           log(`authorization is ${authorization}`)
       }    

   例4: 異なる値で別のヘッダーを追加します。

   //各リクエスト関数の前に 
   function addUniqueHeader(headerName, value) {
       if(!(request.headers[headerName] != null && request.headers[headerName].includes(value))) {
           request.headers.add(headerName, value)
           }
   }
   addUniqueHeader(“headerName”,”Value”) 

6. 「追加」をクリックしてスクリプトを保存します。スクリプトがリストに追加され、デフォルトで有効になります。
   Note: これらのスクリプトは、DAST スキャン中に HTTP 要求や応答ごとに実行されます。
   この機能を適切に使用して、スキャンの効率および有効性を高めてください。ライブ・デプロイメントの前に、制御された環境でスクリプトをテストして、スクリプトが期待どおりに機能することを確認します。
7. 「有効」チェックボックスを使用して、カスタム・スクリプトのリストからスクリプトを有効または無効にすることができます。
8. 「有効」チェックボックスを使用するか、スクリプト・リストでスクリプトを編集、削除、または並べ替えて、スクリプトを管理します。
9. 「フル・スキャンの開始」をクリックして、スキャンを実行します。
10. 結果: 有効なスクリプトが、要求または応答ごとに実行されます。「データ」 > 「要求」タブ > 「要求/応答」から、スクリプトの詳細を表示できます。
    Note: カスタム・スクリプトは、テンプレートにエクスポートするときにデフォルトで暗号化されます。暗号化を無効にするには、「一般:」を調整します。スキャン構成で、「機密データを暗号化」設定を「False」に設定します。

1. 本文: 応答からの応答本文を保持します。応答はストリング形式であるため、必要に応じて手動で (例: JSON に) 変換する必要があります。このプロパティーは読み取り専用であり、スクリプトを実行する前に変更を試みても変わりません。

   // Access body
   response.body

   // Example
   let json = JSON.parse(config.response)

2. パス: 応答エンドポイントに関する情報を含んでいます。

   // Access to the relative url
   response.path

   // Example
   if (response.path.startsWith("api/v1/test"))

3. ステータス: 応答ステータスに関する詳細を格納します。ステータスは、次のプロパティーを持つオブジェクトです。

   // Access status
   response.status.statusCode // A numeric representation of the status
   response.status.statusDescription // The description of the status code
   response.status.statusLine //the whole status line including the http version

   // Example
   if (response.status.statusCode == 200) // check only the number
   if (response.status.statusDescription == "OK") // Check only the description
   if (response.status.statusLine == "HTTP1.1 200 OK") // Full line

4. ヘッダー: すべての応答ヘッダーを含んでいます。デフォルト・ヘッダー以外の任意のヘッダーを追加、削除または変更できます。

   // Add header
   response.headers.add(key, value)

   // Override header if exist
   response.headers.set(key, value)

   // Remove header
   response.headers.remove(key)

   // Modify header
   response.headers[key]

   // Examples
   response.headers.add("Authorization", "MyCoolApiKey")
   response.headers.set("Authorization", "SecondApiKey")
   response.headers.remove("Authorization")
   response.headers['Authorization'] = "myapikey3"

5. 親要求: 応答の前に送信された要求を含んでいるオブジェクト。要求データは読み取り専用です。要求は、以前に定義された要求オブジェクトとしてすべてのプロパティーを持ちます。

   // Example
   response.request.path //- access to the path from the request

1. グローバル変数: グローバル変数データは、ユーザー固有のデータ・ペアを格納するために設計されたキー - 値データ構造です。キーは一意 (2 つの要素が同じキーを持つことはできませんが、複数の要素が同じ値を共有することはできます) であり、実行中のスクリプト間でデータを共有するのに便利です。

   このデータは、新しいスキャンまたは再スキャンが行われるたびに消去されます。

   // Add data to the globals or update existing one
   environment.globalVariables.addOrUpdate(key, value)

   // Remove key data from the globals
   environment.globalVariables.remove(key)

   // Read data - retrieves the value for the current key (without removing it)
   environment.globalVariables.get(key)

2. スキャン状況: 現在のスキャンに関する情報を含んでいます。

   // determine if the current phase is explore phase
   environment.status.isInExplore()

   // determine if the current phase is test phase
   environment.status.isInTest()

// Log message to file
log("my cool logging")

// Log message with custom source
log("message", "my-cool-source")

// Sets the script execution result
setResultValue("result")

• ES6 (2015)
  • ジェネレータ
  • 末尾呼び出し
• ES8 (2017)
  • 共有メモリとアトミック機能
• ES15 (2024)
  • Atomics.waitAsync
  • 正規表現 \v フラグ