求教代码审计如何提高效率

2021-05-13 19:42:17 32 xiafine 7171

大佬们，想问下你们的代码审都是怎么高效率完成任务的？
比如Java代码审计，类似业务安全也知道，比如SQL注入、越权、未授权、文件上传、文件下载、XSS和CSRF这些。
但总是觉得效率是个问题，想问下大佬们的代码审计都是怎么高效率完成任务的？

类别安全研究

关于作者

xiafine6篇文章67篇回复

xiafine

评论32次

要评论？请先登录或注册

TOP1

elcazator
2021-5-20 16:48

黑白盒配合审计，可以先把站搭起来，找可疑点再审计会快点，再就是全局查找找危险函数

回复|@ta|踩(0)|顶(2)
TOP2

xiafine
2021-5-13 22:26

除了fortify经常用一些

回复|@ta|踩(0)|顶(1)
TOP3

iwtbhero
2021-5-16 17:57

我一般是先尝试一下黑盒测试，测试经常出现漏洞的点，任意文件删除，xss，文件上传之类高危漏洞，都可以直接黑盒测试出来，然后再去看关键功能点的代码，分析代码流程，当然如果时间够，就直接从index开始，分析

回复|@ta|踩(0)|顶(1)
TOP4

H3x6zK
2021-5-17 22:15

先用扫描器扫一遍，再把xi统运行起来结合渗透测试挖漏洞。如果是成熟的产品可以写CodeQL搜索规则来找漏洞。

回复|@ta|踩(0)|顶(1)
TOP5

Coler
2021-5-20 18:21

黑盒找容易出漏洞的点，记下参数，去代码里搜索

回复|@ta|踩(0)|顶(1)
12楼

iwtbhero
2021-5-16 17:57

我一般是先尝试一下黑盒测试，测试经常出现漏洞的点，任意文件删除，xss，文件上传之类高危漏洞，都可以直接黑盒测试出来，然后再去看关键功能点的代码，分析代码流程，当然如果时间够，就直接从index开始，分析

回复|@ta|踩(0)|顶(1)
11楼

wongkay
2021-5-16 17:00

andand：
污点追踪，fortify误报太多
回复|@ta
1
Time丶：
大佬，求问污点追踪是什么高科技，怎么操作。。。
回复|@ta
2

同问，污点追踪是什么？

回复|@ta|踩(0)|顶(0)
10楼

agoniamor
2021-5-16 16:44

seay的审计工具

回复|@ta|踩(0)|顶(0)
9楼

Time丶
2021-5-15 18:30

andand：
污点追踪，fortify误报太多
回复|@ta
1

大佬，求问污点追踪是什么高科技，怎么操作。。。

回复|@ta|踩(0)|顶(0)
8楼

andand
2021-5-14 16:07

污点追踪，fortify误报太多

回复|@ta|踩(0)|顶(0)
7楼

Lucky_ljn
2021-5-14 15:40

污点追踪

回复|@ta|踩(0)|顶(0)
6楼

afanti
2021-5-14 09:07

推荐codeql

回复|@ta|踩(0)|顶(0)
5楼

lingwei4
2021-5-13 23:19

找上传，找代码执行，从高危到低危找

回复|@ta|踩(0)|顶(0)
4楼

xiafine
2021-5-13 22:26

lsxlsx：
半自动工具
回复|@ta
1

除了fortify经常用一些

回复|@ta|踩(0)|顶(1)
3楼

xiafine
2021-5-13 22:24

canfeng_m：
经验吧直接搜参数点能通读的都通读
回复|@ta
1

这个还是根据常用危险函数查看调用链是否有安全措施

回复|@ta|踩(0)|顶(0)
2楼

lsxlsx
2021-5-13 22:16

半自动工具

回复|@ta|踩(0)|顶(0)
1楼

canfeng_m
2021-5-13 22:07

经验吧直接搜参数点能通读的都通读

回复|@ta|踩(0)|顶(0)