本文目录一览：
动态漏洞扫描工具的缺点
动态漏洞扫描工具的缺点要分一下几种类型讨论：
AWVS：漏洞扫描速度较快，准确率较高，漏洞规则库较为全面。漏洞验证可查看请求响应代码，但无中文界面。报表功能完整。有多重漏洞的验证工具。
Appscan：漏洞扫描速度一般，准确率最高，漏洞规则库最全面。漏洞验证可查看请求相应代码，拥有较完整的漏洞修复建议。报表功能完整。全中文界面
HPWebInspect：漏洞扫描速度一般，准确率较高，扫描类型较多。报表功能强大。可查看请求响应代码。无中文界面。
WebCruiser：此工具偏向渗透利用工具，扫描功能较弱。仅有轻量级SQL注入和XSS漏洞的扫描功能。具有SQL注入漏洞利用功能。
Nexpose：扫描速度快，能扫描系统层和web层2类漏洞，但web漏洞发现能力不如appscan，系统扫描能力不如Nessus。
如何进行WEB安全性测试
安全性测试
产品满足需求提及的安全能力
n 应用程序级别的安全性，包括对数据或业务功能的访问，应
用程序级别的安全性可确保：在预期的安全性情况下，主角
只能访问特定的功能或用例，或者只能访问有限的数据。例
如，可能会允许所有人输入数据，创建新账户，但只有管理
员才能删除这些数据或账户。如果具有数据级别的安全性，
测试就可确保“用户类型一” 能够看到所有客户消息（包括
财务数据），而“用户二”只能看见同一客户的统计数据。
n 系统级别的安全性，包括对系统的登录或远程访问。
系统级别的安全性可确保只有具备系统访问权限的用户才能
访问应用程序，而且只能通过相应的网关来访问。
安全性测试应用
防SQL漏洞扫描
– Appscan
n防XSS、防钓鱼
– RatProxy、Taint、Netsparker
nget、post - 防止关键信息显式提交
– get：显式提交
– post：隐式提交
ncookie、session
– Cookie欺骗
请教关于使用appscan 检测"基于DOM的跨站点脚本"漏洞修复问题
应该是XSS攻击了，可以在后台持久化之前将可能出现js脚本的数据转义一次，或者直接过滤特殊字符。