静态代码扫描因为只能扫描特定结构的代码,且函数中的变量来源未知,导致误报率很高的。这种情况下的扫描 其实和正则没什么区别了。
所以 就以AST来说 好像只能干以下的事情:
-
合规加密解密算法
-
是否接入sso
-
是否SQL拼接
很鸡肋的,好像啥也干不了
扫漏洞还是要靠Rasp和被动扫描器
本文始发于微信公众号(xsser的博客):静态代码扫描能干什么
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
聚合网络安全,存储安全技术文章,融合安全最新讯息
静态代码扫描因为只能扫描特定结构的代码,且函数中的变量来源未知,导致误报率很高的。这种情况下的扫描 其实和正则没什么区别了。
所以 就以AST来说 好像只能干以下的事情:
合规加密解密算法
是否接入sso
是否SQL拼接
很鸡肋的,好像啥也干不了
扫漏洞还是要靠Rasp和被动扫描器
本文始发于微信公众号(xsser的博客):静态代码扫描能干什么
评论