IAST 工具初探

地球胖头鱼 2021-05-27
Web安全 发布于 2021-05-27 14:08:08 阅读 270 评论 0

近年来,IAST作为一种新的应用安全测试技术,受到广泛的关注,慢慢出现了一些IAST开源项目,可以让更多的个人或者企业参与和体验。

本文就目前网络中找到的几款IAST工具进行部署测试,记录一些使用过程和体验。

1、openrasp-iast

openrasp-iast 是一款灰盒扫描工具,目前开源的IAST扫描器,通过安装Agent和扫描器,能够结合应用内部hook点信息,针对获取到的url请求参数进行fuzz,从而检测到安全漏洞。

支持的编程语言:Java、PHP。

官方文档:

https://rasp.baidu.com/doc/install/iast.html

IAST 工具初探

2、火线~洞态IAST

洞台IAST提供SAAS平台,个人用户通过填写问卷注册登录,下载Agent进行应用程序部署,正常访问应用,就可以触发漏洞检测。漏洞结果提供比较详细的HTTP数据包和污点流图,可用于快速验证和复现漏洞。

支持的编程语言:Java、C#、Net Core。

官方主页:

https://hxsecurity.github.io/DongTaiDoc/#/

IAST 工具初探

Semmle QL

以一种独特的方法寻找代码中的漏洞,将代码当成数据,将分析问题变成对数据库的请求。

支持的编程语言:Java,Python,JavaScript,TypeScript,C#,Go,C/C ++。

免费检测平台:

https://lgtm.com

IAST 工具初探

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!
地球胖头鱼
未填写
  • 作者发布文章253
  • 作者收获粉丝11
  • 作者收到点赞4
  • 所有文章被收藏了6
  • 博客总访问量排行第2
  • 博客总访问量10.6 万(每日更新)
查看所有博文