移动端扫描中的域名黑名单

本指南介绍如何通过配置扫描范围从移动端扫描中排除特定域名。

移动端扫描使用 Scope URLs regexes 来定义哪些域名或 URL 属于扫描范围内。若要将域名加入黑名单或排除该域名，请提供一个正则表达式，该表达式匹配要保留在范围内的 URL，且不匹配要排除的域名。

访问 report.ostorlab.co

1. 简介

通过排除特定域名，您可以避免在移动端扫描期间测试范围外的目标。

2. 点击此处

通过点击 "New Scan" 图标启动该过程。

3. 选择资产类型

选择移动资产类型。这可以是 Play Store、App Store、Android APK、Android AAB、iOS IPA 或 iOS TestFlight。

4. 提供目标

提供扫描目标。

5. 点击 "Continue"

点击 continue 进行下一步。

6. 点击 "Full Scan"

选择 Full Scan 选项。

7. 点击 "Continue"

点击 continue 确认您的选择以继续。

8. 选择 Test Credentials

选择要使用的测试凭据。此步骤是可选的。

9. 点击 "Continue"

点击 continue 进入 Advanced Settings 步骤。

10. 提供域名排除正则表达式

在 Scope URLs regexes 中，输入从扫描范围中排除该域名的正则表达式。

例如，若要排除 example.com 及其子域名，请添加以下正则表达式：

^https?://(?!(?:[^/?#:]+\.)?example\.com(?::\d+)?(?:[/?#]|$)).*

这可确保 example.com、www.example.com、api.example.com 以及其他 example.com 的子域名均不在扫描范围内。

正则表达式示例

排除 example.com 及其所有子域名：

^https?://(?!(?:[^/?#:]+\.)?example\.com(?::\d+)?(?:[/?#]|$)).*

仅排除根域名 example.com，同时允许子域名：

^https?://(?!example\.com(?::\d+)?(?:[/?#]|$)).*

仅排除单个子域名，例如 staging.example.com：

^https?://(?!staging\.example\.com(?::\d+)?(?:[/?#]|$)).*

排除多个域名，例如 example.com 和 test.example.org：

^https?://(?!(?:(?:[^/?#:]+\.)?example\.com|(?:[^/?#:]+\.)?test\.example\.org)(?::\d+)?(?:[/?#]|$)).*

仅允许受信任的生产域名，这通常比使用黑名单形式的正则表达式更简单：

^https?://api\.example\.com(?::\d+)?(?:[/?#]|$).*
^https?://auth\.example\.com(?::\d+)?(?:[/?#]|$).*

添加多行时，每一行都将被视为范围正则表达式。直接白名单允许列表示例可以每行输入一个。黑名单形式的排除规则应编写为从匹配范围中排除该域名的单个正则表达式。

11. 点击 "submit"

点击 submit 完成移动端扫描的创建。

12. 点击 "Proceed"

点击 proceed 以创建扫描。

13. 点击 "show"

点击 Show 以转到扫描列表。

14. 扫描列表

该扫描将显示在扫描表格中。

本指南介绍了如何使用 Scope URLs regexes 从移动端扫描中排除域名。