一次性密码 (OTP)

如果应用程序需要,请配置 AppScan® 以在登录时使用 OTP。

如果应用程序使用 OTP,请选择两个选项中的一个,否则保留缺省设置:无。

记录登录过程时,AppScan 会从流量中抽取相关参数,并将其添加到“自动表单填充”列表中。这些参数还会显示在 OTP 视图的下半部分。如果 AppScan 未能识别这些参数,那么您必须在此视图或“自动表单填充”视图中自己添加这些参数。
限制:
  • 每个扫描仅支持一个 OTP 类型(TOTP 或 URL 生成的 OTP)。
  • 对于 TOTP,仅支持数值。
选项 描述

TOTP

对于基于时间的一次性密码,您必须向 AppScan 提供:
  • 密钥
  • 密码长度(字符数)
  • 使用的散列算法(从下拉列表中选择)
  • 时间步长(以秒为单位)
提示: AppScan 机器和测试服务器上的时间都必须准确。

URL 生成的 OTP

如果可以从指定 URL 访问 OTP,那么可以将 AppScan 配置为从 URL 响应中抽取 OTP。您必须向 AppScan 提供:
  • URL
  • 将识别 URL 响应中 OTP 的正则表达式

站点不使用 OTP,或者不需要扫描那些使用 OTP 的页面。

详细信息

OTP HTTP 参数

如果已选择其中一个 OTP 类型,那么在验证记录登录过程时,AppScan 将从流量中识别所需的必需参数,并将其添加到“自动表单填充”列表中。这些参数也将在此处显示。

如果 AppScan® 未能识别这些参数,或者您使用自动登录,那么您必须手动添加这些参数。这些参数必须以逗号分隔。

如何识别 OTP HTTP 参数

AppScan 需要知道包含 OTP 的参数的名称(以便能够登录到应用程序),并且通常在验证记录登录过程时识别该参数。如果其未能识别该参数,或者您使用自动登录,那么您必须手动添加该参数。

要识别参数:
  1. 打开浏览器并转到应用程序的登录页面。
  2. 单击 F12 打开浏览器的开发人员工具窗格(在主浏览器窗格的右侧或下方打开)。
  3. 单击“元素”选项卡以查看 HTML 代码。

    当您选择代码的一部分时,该元素会在主浏览器窗格中突出显示。

  4. 找到突出显示 OTP 字段的元素。
    示例:
    <input type="text" name="OTPvalue" value="">
  5. name 参数的值(不带引号)就是您需要的 OTP HTTP 参数。
    示例:
    OTPvalue
  6. 如果有多个 OTP HTTP 参数,请用逗号分隔这些参数。