前提：预先安装好AppScan工具，我的版本是9.0.3.7
1.新建扫描，一般选择 常规扫描，文件--新建 或者 ctrl+N；
2.扫描配置向导，第一种为web扫描，第二种是app扫描需要设置代理，下一步；
3.输入想要测试的URL，会自动检测是否连接到服务器，下一步；
4.有两个地方要注意一下，登录方法 记录 和 尚未记录登录
测试web没有验证码情况下，可以使用（“记录”和“自动”登陆方法）；
有验证码情况下，可以使用“提示”登陆方法；
推荐使用“记录”方法；
①点击记录进入，选择Appscan ie浏览器（推荐），会打开设置一个刚刚设置需要测试的URL地址，进行记录登录账号、密码操作；
登录成功后，点击【我已登录到站点】，AppScan会开始分析（需要一会儿），然后记录登录操作，会执行注销操作。
记录成功后，自动返回到登录管理，此时状态
会显示基于操作的登录；下一步
5.几种测试策略说明
缺省值：该策略包含所有测试，但侵入式和端口侦听器测试除外；
仅应用程序：包含所有应用程序级别的测试，但不包含侵入式和端口侦听器；
仅基础结构：包含所有基础结构级别的测试，但不包含侵入式和端口侦听器；
侵入式：包含所有侵入式测试（可能影响服务器稳定性的测试）；
完成：该策略包含所有 AppScan 测试，但端口侦听器测试除外；
关键的少数：包含一些成功可能性较高的测试精选，在时间有限时对站点评估可能有用；
开发者精要：包含一些成功可能性极高的应用程序测试的精选，在时间有限时对站点评估可能有用；
仅第三方：该策略包含所有第三方级别测试，但侵入式和端口侦听器测试除外；
生产站点：此策略“排除”可能损坏站点的侵入式测试，或测试可能导致“拒绝服务”的其他用户；
Web Services：该策略包含所有 SOAP 相关的非侵入式测试；
选择合适的策略后，下一步
6.完成，选择启动全面自动扫描，完成
7.扫描测试完成后，会将结果呈现，包括一些高、中、低风险问题，需要开发人员处理；
8.导出保存报告；
