绿盟远程安全评估系统 RSAS 使用体验-难用

最近领导让我用公司采购的RSAS对产品进行漏洞扫描，学习并使用了这个软件，体验就是真的很难用。使用遇到问题时，咨询售后服务，机器人需要有公司认证，不能随便问问题，也是无语了。咨询客服，客服回答的驴唇不对马嘴，感觉在对牛弹琴，客服什么都不懂，只会重复回答那无用的操作手册上面的配置。

新建任务

可以快速新建对应任务，有的没有购买不能使用。

点进web应用扫描，填写扫描目标url。

如果要根据已有任务配置，可以直接选择已有任务配置，选择一个任务，然后进行修改。 

认证配置中，可以启用登录，预设Cookie，还可以登录预录制。 

登录预录制，教程基于IE，配置还没成功，edge没有internet选项，我就问这功能是2023年应该用的吗？

漏洞模板的下拉选项，选择模板，则扫描该模板下包含的漏洞。

高级选项里，可以设置自定义header，比如设置下token。

问题来了，当我只在它默认给的这个header里填写的时候，该header信息并未生效，报告显示我没有自定义header，我点击+添加一个，填写信息后，才显示有header，这不是bug吗？ 

而且，当header为token时，value值限制了长度，导致我的value值无法输入完整。

设置完后点击确定。开始扫描。

任务列表

任务列表见名知意，显示任务的列表。扫描结束后，点进该任务。

综述信息 

可以看到综述信息，知道这次扫描的评分。

站点列表 

点进站点列表，会扫描出的问题，和问题的详细原因，请求和响应信息。 

 报告下载

在站点列表或者任务列表页面，可以下载该次扫描的报告，html格式，pdf格式。槽点来了，下载的html报告，只有问题标题，并没有请求响应信息，我就问！！！！测试把这个报告发给开发后，开发知道哪里有问题吗？这半拉报告有卵用？

 漏洞列表

显示本次扫描的漏洞。

参考标准

该页面是一些信息。

仪表盘

漏洞模板

可以每个模板下包含了哪些漏洞。

最大槽点 

作为一款安全扫描工具，竟然不能像burpsuite那样扫描接口，而是只能扫描一些静态页面。没有办法录制请求进行扫描，不支持填写get、post方法和载荷！！！！！

对于一个有明显SQL注入漏洞的url连接，采用专有的SQL注入模板，没发现SQL注入问题，显示非常安全。

对于静态页面爬取，只能发现一些不痛不痒的，响应头未设置的一些问题，这样的漏洞扫描工具，真的不敢恭维。

总结

槽点1：

登录预录制，教程基于IE，配置还没成功，edge没有internet选项，我就问这功能是2023年应该用的吗？

槽点2：

下载的html报告，只有问题标题，并没有请求响应信息，测试把这个报告发给开发后，开发知道哪里有问题吗？这半拉报告有卵用？

槽点3：

无法扫描接口，无法填写请求方法，无法填写载荷，只是单纯的爬取页面，简单的SQL注入问题都发现不了。

槽点4：

自定义header只有1个时不生效。当header为token时，value值限制了长度，导致我的value值无法输入完整。