使用AppScan，可以自動(dòng)化檢測(cè)Web應(yīng)用的各種安全漏洞，比方說，跨站點(diǎn)腳本攻擊（Crosssite Scripting Flaws）、注入式攻擊（Injection Flaws）、失效的訪問控制（Broken Access Control）、緩存溢出問題（Buffer Overflows），等等。這些安全漏洞大多包括在OWASP（Open Web Application Security Project，開放式Web應(yīng)用程序安全項(xiàng)目）所公布的Web應(yīng)用安全漏洞中。AppScan這個(gè)工具集成了針對(duì)各種安全漏洞的攻擊方法，而且可以自動(dòng)發(fā)起攻擊。
為了有效地進(jìn)行安全漏洞軟件測(cè)試，需要更多類似于AppScan的自動(dòng)化測(cè)試工具。
很多人認(rèn)為，安全漏洞軟件測(cè)試人員應(yīng)該站在軟件開發(fā)人員的對(duì)立面，他們應(yīng)該在測(cè)試時(shí)才亮出自己的“獨(dú)門暗器”。通過這樣的突然攻擊，可以讓軟件開發(fā)人員措手不及，從而更好地發(fā)現(xiàn)軟件實(shí)現(xiàn)中的邏輯缺陷。這種做法似乎符合母獅與瞪羚的隱喻。
但是，我們不要忘了安全漏洞軟件測(cè)試的另一項(xiàng)使命——幫助軟件獲得更強(qiáng)的生存能力。
我們?cè)谇懊嬉呀?jīng)提到過這個(gè)觀點(diǎn)。致遠(yuǎn)服軟認(rèn)為http://www.soft8.com.cn/基于這個(gè)觀點(diǎn)，所有的測(cè)試手段（存在于企業(yè)資產(chǎn)庫(kù)中）都應(yīng)該是公開的，而不應(yīng)該是“獨(dú)門暗器”。理想的情況下，在軟件生產(chǎn)時(shí)，開發(fā)人員就已經(jīng)對(duì)這些攻擊的可能性進(jìn)行了考慮、設(shè)計(jì)、實(shí)現(xiàn)和驗(yàn)證（我把軟件實(shí)現(xiàn)中的這種驗(yàn)證稱之為“可行性測(cè)試”）。
就測(cè)試手段來說，大連在線訂單軟件開發(fā)人員和測(cè)試人員所使用的沒有什么不同。區(qū)別在于，軟件測(cè)試人員嘗試覆 蓋更多的邏輯路徑。
所以，軟件測(cè)試人員應(yīng)該幫助開發(fā)人員盡早理解那些現(xiàn)有的測(cè)試方法，并盡早修補(bǔ)可能被攻破的邏輯缺陷。軟件開發(fā)人員和測(cè)試人員應(yīng)該擁有著相同的目標(biāo)。
對(duì)于軟件測(cè)試人員來說，除了熟練應(yīng)用知識(shí)資產(chǎn)庫(kù)中已知的測(cè)試手段外，還需要不斷地尋找新的攻擊方法（這也是軟件測(cè)試的主要工作）。當(dāng)新的攻擊方法被證明有效時(shí)，它們將很快轉(zhuǎn)變成為軟件測(cè)試方面的經(jīng)驗(yàn)知識(shí)，繼而成為軟件開發(fā)的經(jīng)驗(yàn)知識(shí)。
