这个我经常使用，熟门熟路，可以给你详细解答一下。
1、介绍
IBM的AppScan产品是一个领先的 Web 应用安全测试工具。
曾以 Watchfire AppScan 的名称享誉业界。Rational AppScan 可自动化 Web 应用的安全漏洞评估工作，能扫描和检测所有常见的 Web 应用安全漏洞。
例如 SQL 注入（SQL-injection）、跨站点脚本攻击（cross-site scripting）、缓冲区溢出（buffer overflow）及最新的 Flash/Flex 应用及 Web 2.0 应用曝露等方面安全漏洞的扫描。
2、Rational AppScan（简称 AppScan）其实是一个产品家族，包括众多的应用安全扫描产品。
从开发阶段的源代码扫描的 AppScan source edition，到针对 Web 应用进行快速扫描的 AppScan standard edition，以及进行安全管理和汇总整合的 AppScan enterprise Edition 等。
我们经常说的 AppScan 就是指的桌面版本的AppScan，即AppScan standard edition。
其安装在 Windows 操作系统上，可以对网站等 Web 应用进行自动化的应用安全扫描和测试。
3、AppScan工作原理：
通过搜索（爬行）发现整个 Web 应用结构。
根据分析，发送修改的 HTTP Request 进行攻击尝试（扫描规则库）
通过对于 Respone 的分析验证是否存在安全漏
4、AppScan核心三要素：
扫描规则库
探索
测试
5、AppScan 的扫描受到如下因素的影响：
网站规模（页面个数，页面参数）
扫描策略的选择
扫描设置
