代码安全审计

admin

100781
文章

86
评论

2023年3月13日06:40:23评论42 views字数 1613阅读5分22秒阅读模式

免责声明

由于传播、利用本公众号李白你好所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号李白你好及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！

文章来源：网络安全情报攻防站

原文地址：https://t.zsxq.com/04MRZf6Ae

0x01 安全审计

什么是代码安全审计？

代码安全审计是指有开发和安全经验的人员，通过阅读开发文档和源代码，以自动化分析工具或者人工分析为手段，对应用程序进行深入分析，高效全面的发现系统代码的编码缺陷以及开发人员不安全的编程习惯，并指导开发人员进行修复，保障应用系统的安全运行。

代码审计前端知识

-熟悉基本漏洞原理
-熟悉基础开发，如java、js、html、jsp、数据库等
-熟悉基础开发框架，如spring、Struts2、Hibernate等
-学习渗透基本原理，结合源代码找漏洞
-关注最新漏洞

代码审计工作流程

配置分析环境—熟悉业务流程—分析程序架构—工具自动化分析—人工审计结果—整理审计报告

java九大内置对象

-request-session-config-response-application-page-pageContext-Out-exception

java中危险函数

-getParameter()-getheaders()-getcookies()-Runtime.exec()-getQueryString()-logger.infor-password-upload-download

0x02 Fortify

Fortify 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，通过与软件安全漏洞规则集进行匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并可导出报告。扫描的结果中包括详细的安全漏洞信息、相关的安全知识、修复意见。

代码安全审计

原理

-首先通过调用语言的编译器或者解释器把前端的语言代码（如JAVA，C/C++源代码）转换成一种中间媒体文件NST（Normal Syntax Tree），将其源代码之间的调用关系，执行环境，上下文等分析清楚。
-通过分析不同类型问题的静态分析引擎分析NST文件，同时匹配所有规则库中的漏洞特征，将漏洞抓取出来，然后形成包含详细漏洞信息的FPR结果文件，用AWB打开查看。

支持语言

1.asp.net2.VB.Net3.c#.Net4.ASP5.VS67.java8.JSP9.javascript10.HTML11.XML12.C/C++13.PHP14.T-SQL15.PL/SQL16.Action script17.Object-C (iphone-2012/5)18.ColdFusion5.0 - 选购19.python -选购20.COBOL - 选购21.SAP-ABAP -选购