1.我司众安内部系统在开发项目交付之前,会向我和同事申请渗透测试。
2.两个人测试效率太低,覆盖并不是很全,虽然研发部门也有测试人员,但是因为本身就不是做渗透的,不知道怎么进行安全测试,如何让不懂渗透的人也加入安全测试呢。
3.所以就体验了一下https://dongtai.io/,开源的交互式安全测试工具。(说是体验,其实是等我先学会了再教你们怎么用)。
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
9.然后查一下tomcat的pid,我的机器上的pid是755661
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
10.因为我选择了自动安装,所以命令是java -jar dongtai-agent.jar -m install -p 755661,这样就安装成功了。
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
11.测试靶场用的是fastjson 1.2.60 RCE 漏洞。
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
![洞态IAST检测工具使用指南 洞态IAST检测工具使用指南]()
16.虽然研发部门的测试人员不懂安全测试,但是他们这样可以在测试功能中也能一起挖洞,可能比我和同事测的更全面。
个
原文始发于微信公众号(弥天安全实验室):洞态IAST检测工具使用指南
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
点赞
https://cn-sec.com/archives/1197585.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论