经过身份验证的 Web 扫描

本指南提供了有关使用 Ostorlab 运行经过身份验证的 Web 扫描的分步教程。

1. 点击 "New Scan"

点击顶部栏中的 "New Scan" 图标。

点击 'New Scan'

从可用的资产类型中选择 "Web App" 选项。

点击 'Web App'

输入要扫描的 URL 或域，每行一个，然后点击 "Continue"。接下来的 "Extra Context" 步骤是可选的：再次点击 "Continue" 即可跳过。

指定目标 URL 或域

选择 "Full Web Scan" 配置文件，然后点击 "Continue"。带有锁形图标和 "Unlock Profile" 按钮的配置文件不包含在您组织的套餐中；点击 "Unlock Profile" 会打开套餐页面。

选择 'Full Web Scan' 选项

"Test Credentials" 步骤允许您选择一个或多个预定义的测试凭据或添加新的凭据。测试凭据增加了动态分析的覆盖范围。要添加新的凭据，请点击 "+ Test Credentials"。

点击 '+ Test Credentials'

支持的类型包括：

Login & Password：用户名和密码组合。
Custom Credentials：自定义键值对，在测试过程中按语义进行匹配，用于自定义表单字段，如用户名、密码和域名。
2FA SMS、2FA Email、2FA TOTP 和 2FA Manual：双因素身份验证。请参阅经过身份验证的扫描中的 2FA。
Basic Authentication：HTTP 基本身份验证 (Basic Authentication) 方案。
Script：允许您上传 puppeteer 脚本。这对于启用复杂的身份验证流程或结账等复杂交互非常有用。
Certificate：TLS 客户端证书。
HTTP Headers：允许您提供如 Authorization、User-Agent 等标头 (headers)。

测试凭据类型

例如，要添加 "Login & Password"，请从测试凭据菜单中选择 "Login & Password" 选项。

点击 'Login & Password'

输入登录名、密码和登录页面的 URL。标签 (label) 和角色 (role) 是可选的。点击 Start scan 后，测试凭据将被保存并添加到扫描中。

输入登录名、密码和 URL

HTTP User-Agent请求标头允许服务器识别发出请求的用户代理的应用程序、供应商和/或版本。

Ostorlab在扫描Web应用程序时会使用用户代理。但是，用户有时可能希望提供他们选择的用户代理以在扫描期间使用。要执行此操作，只需添加一个HTTP Header测试凭据。

（可选）输入一个_标签_以轻松识别此测试凭据，例如“自定义用户代理”。
在_name_字段中，输入User-Agent。
在_value_字段中，输入您选择的用户代理，例如 Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/51.0.2704.103 Safari/537.36。

Provide a custom user agent

在运行经过身份验证的Web扫描时，您可以在“Set scan credentials”步骤中选择此测试凭据，Web应用程序将使用自定义用户代理进行扫描。

"SBOM Files"、"Advanced Settings"、"Custom Checks" 和 "Tags" 步骤是可选的。高级设置包括 QPS（每秒最大查询次数）、代理和过滤 URL 正则表达式 (regex)。

点击 "Start scan" 按钮以创建扫描。

点击 'Start scan'

扫描页面会打开，并显示 "Scan created" 消息。要跟踪扫描，请点击顶部栏中的 "Scans" 图标。该扫描会列在扫描表格中：它会先进入队列，然后开始运行。

扫描列表中的扫描

在本指南中，您学习了如何使用 Ostorlab 运行经过身份验证的 Web 扫描。说明涵盖了配置扫描设置、添加 URL 和域以及使用登录凭据进行身份验证。按照这些步骤，您可以确保对您的应用程序进行彻底、安全的 Web 扫描。