在现代网络安全扫描实践中,HTTPS已成为标配，这使得对使用SSL/TLS加密的应用进行安全测试变得至关重要，IBM AppScan作为业界领先的应用安全测试工具，在扫描目标网站时，需要与目标服务器建立安全的通信连接，当目标服务器使用自签名证书、私有CA签发的证书，或是证书链不完整时，AppScan的默认信任机制会拒绝该连接，导致扫描无法启动或中途失败，手动将服务器的SSL证书添加到AppScan的信任库中，是确保扫描顺利进行的关键一步，本文将详细阐述如何在AppScan中添加SSL证书，涵盖准备工作、具体操作步骤、常见问题排查及最佳实践，旨在为安全测试人员提供一份清晰、全面的操作指南。
准备工作：获取并理解SSL证书文件
在进行任何配置之前,首要任务是获取正确的SSL证书文件，这不仅仅是服务器证书本身，往往还涉及到整个证书链。
证书文件的常见格式
证书可以有多种编码和封装格式,了解它们有助于我们正确获取和使用，常见的格式包括：
| 格式 | 扩展名 | 描述 | 是否包含私钥 |
|---|---|---|---|
| PEM | .pem, .crt, .cer | Base64编码的文本格式，最为常见，通常只包含证书（公钥）。 | 否 |
| DER | .der, .cer | 二进制格式的证书，与PEM内容相同，但编码方式不同。 | 否 |
| PFX/P12 | .pfx, .p12 | PKCS#12标准的二进制格式，可以包含证书（公钥）、私钥和CA证书链，通常有密码保护。 | 是 |
对于AppScan来说,通常只需要导入服务器的公钥证书（即PEM或DER格式），如果证书链不完整（缺少中间CA证书），AppScan可能仍然无法验证，最佳实践是获取一个包含从服务器证书到根证书的完整证书链的文件。
如何获取服务器证书
有多种方式可以获取目标服务器的SSL证书：
- 通过浏览器导出：访问HTTPS网站，点击地址栏的锁形图标，查看证书信息，通常在“详细信息”或“证书路径”选项卡中可以找到“导出”功能，建议选择“Base-64 encoded X.509 (.CER)”格式。
- 使用OpenSSL命令行工具：这是最灵活和强大的方法，打开命令行，执行以下命令可以获取服务器的证书链并保存为
domain.pem文件：openssl s_client -connect your.target.domain:443 -showcerts </dev/null | sed -n '/-----BEGIN CERTIFICATE-----/,/-----END CERTIFICATE-----/p' > domain.pem
这条命令会连接到指定域名的443端口,并提取所有展示的证书（服务器证书和中间证书），然后保存到PEM文件中。
核心步骤：在AppScan中导入SSL证书
以AppScan Standard版本为例，导入证书的流程清晰直观。
第一步：打开或创建扫描配置
启动IBM AppScan Standard，如果是新的扫描，请创建一个新的扫描配置；如果是在现有扫描中遇到SSL问题，则打开对应的扫描配置文件。
第二步：导航至SSL/TLS设置界面
在AppScan的主界面中,通过菜单栏依次点击 扫描 -> 扫描配置，在弹出的配置窗口左侧，找到并展开 通信 选项，然后点击其下的 SSL/TLS，这个界面就是管理AppScan信任证书的核心区域。
第三步：进入证书管理器
在 SSL/TLS 设置页面的右侧，您会看到“受信任的证书”或类似的列表，点击列表下方的 管理 或 导入 按钮，这将打开一个新的证书存储管理窗口，允许您查看、添加和删除AppScan信任的证书。
第四步：导入证书文件
在证书存储管理窗口中,点击 导入文件 或 添加证书 按钮，系统会弹出一个文件选择对话框。
- 浏览到您之前准备好的证书文件（
domain.pem或domain.cer）。 - 选中文件并点击“打开”。
- 如果您导入的是PFX/P12格式的文件，系统会提示您输入保护该文件的密码，输入正确的密码后，AppScan会读取其中的证书和私钥信息。
- 导入成功后,AppScan可能会显示一个证书详情摘要，确认信息无误后点击“确定”。
第五步：验证导入并测试连接
导入的证书现在应该出现在“受信任的证书”列表中，为了验证配置是否生效，最直接的方法是进行一次连接测试，您可以：
- 返回到
扫描配置的启动选项卡。 - 点击
测试连接按钮，如果AppScan能够成功与目标网站建立SSL连接，并且没有出现证书相关的错误提示，那么恭喜您，证书已成功添加。
高级应用与常见问题排查
即使按照步骤操作,有时仍可能遇到问题，以下是一些常见情况及其解决方案。
| 问题现象 | 可能原因 | 解决方案 |
|---|---|---|
| AppScan仍然提示证书不可信 | 证书链不完整（缺少中间CA）。 导入了错误的证书（如导入了CA的根证书而非服务器证书）。 |
使用OpenSSL等工具获取完整的证书链并导入。 重新获取并确认导入的是目标服务器的公钥证书。 |
| 导入PFX文件时提示密码错误或文件损坏 | 密码输入错误。 PFX文件在传输过程中损坏。 |
核对密码，注意大小写和特殊字符。 重新从源处获取PFX文件。 |
| 测试连接成功，但扫描过程中仍出现SSL握手错误 | 目标服务器在扫描过程中动态切换了证书（如负载均衡环境）。 AppScan版本过旧，不支持某些新的加密算法。 |
确认负载均衡后所有服务器都使用相同的证书，或将所有服务器的证书都导入。 升级AppScan到最新版本。 |
最佳实践与安全建议
- 优先使用完整证书链：始终尝试导入完整的证书链文件，这能解决绝大多数因中间证书缺失导致的信任问题。
- 专用测试证书：在测试环境中，建议使用由内部CA统一签发的证书，并将该内部CA的根证书导入AppScan，这样所有由其签发的服务器证书都会被自动信任，无需逐一添加。
- 定期审查：定期检查AppScan信任库中的证书，移除不再需要或已过期的证书，保持信任库的整洁和安全。
- 版本兼容性：确保您使用的AppScan版本支持目标服务器所使用的TLS协议版本和加密套件。
为AppScan添加SSL证书是一项基础但至关重要的技能,它不仅是解决扫描障碍的技术手段，更是确保安全测试能够全面、深入覆盖加密通信流量的前提，通过理解证书原理、掌握正确的导入方法，并具备排查常见问题的能力，安全测试人员可以极大地提升工作效率和扫描结果的准确性。
