軟件漏洞有哪些常見類型？如何利用DAST和SAST優化測試

---

網絡犯罪是一個骯臟的游戲，黑客會使用書中的每一個技巧來突破你的安全系統。然而，有一些屢試不爽的方法，犯罪分子往往更喜歡，讓我們有辦法預測和防止惡意行為。讓我們來看看幾個主要的攻擊途徑。

SQL注入攻擊

SQL注入（SQLi）是最古老的網絡攻擊類型之一，也是一個網絡應用程序可能存在的最危險的漏洞之一。SQLi攻擊的目標是網頁或應用程序中易受攻擊的用戶輸入，以執行惡意的SQL語句，并繞過安全措施來訪問整個SQL數據庫，并可能添加、修改或刪除記錄。

它們可能被用來訪問敏感的商業機密、客戶信息、個人身份信息（PII）、知識產權（IP）等。這種暴露可以適用于任何使用SQL數據庫的網站或網絡應用，如MySQL、Oracle、SQL Server或其他流行的選項。

跨站腳本（XSS）攻擊

XSS攻擊是一種特別討厭的客戶端代碼注入類型，允許黑客利用已知的漏洞，將腳本注入到網頁中，因此毫無戒心的用戶得到了從可信來源傳遞的惡意內容。XSS攻擊可以用來繞過訪問控制，如同源策略，或基于角色的訪問控制（RBAC），其范圍可以從瑣碎的、低影響的活動到災難性的系統故障。

分布式拒絕服務攻擊

黑客經常使用DDoS來滲透一個應用程序，使其流量過載以破壞服務。這有點像人為制造的交通堵塞，只是為了讓人們難以通行。這種類型的攻擊通常針對銀行和其他金融網關等知名企業，而且不需要太多的腳本或編碼知識就可以執行。

如何使用DAST和SAST來優化測試

在比較SAST與DAST時，開發人員經常說它們是相互補充的，但隨后只是推薦使用這兩種工具，這不一定是補充，因為它只是在做兩件不同的事情。但是，你可以把SAST和DAST結合起來用于AppSec，以一種互補的方式，通過利用DAST使SAST對你的業務價值最大化。

動態應用安全測試(DAST)是一套測試方法，軟件開發人員通過模擬惡意行為來尋找應用程序中的安全漏洞，以確定可能被利用的弱點。在黑盒測試中，DAST模擬了黑客會嘗試的相同類型的外部攻擊，但不需要了解或查看應用程序的架構或內部源代碼。

靜態應用安全測試(SAST)即分析應用程序而不運行它。有多種方法可以做到這一點，從人工審查到度量分析，到模式分析，再到數據流分析。這被認為是白盒測試。

為了更好地理解它是如何工作的，我們把軟件想象成一條裝配線，從生產線的末端開始，使用三步改進過程來提高安全性。第一階段總比沒有好，但遠不如第三階段好。

• 發布前的安全測試（第一階段)：應用安全的第一個階段是DAST。對于應用程序的安全，我們采取最終的應用程序，在發布前進行構建，并對其進行搗毀，試圖以任何方式侵入它——這是DAST。
• 早期檢測——將安全向左轉移（第二階段）：應用安全改進之旅的第二個階段增加了SAST，以解決這個周期內的后期問題。我們如何能在應用程序準備好之前就開始安全測試？SAST是我們明顯的答案。SAST檢查器可以在我們有了代碼后立即運行。
• 預防——領先于曲線（第三階段）：為了超越SAST與DAST的關系，進入一個完全互補的情況，我們可以利用DAST的結果來通知我們的SAST，調整我們的靜態分析規則配置，告訴我們需要尋找什么樣的安全弱點。以這種方式使用DAST，它可以使SAST告訴我們所需要的一切，關于安全漏洞來自哪里，我們如何能夠減輕它們，以及我們如何能夠以這樣一種方式編碼，使它們不會發生。

那么，這是如何工作的呢？首先，我們需要使用DAST的結果進行根本原因分析。例如，對于SQL注入，我們需要確保數據在進來的時候就被消毒了，所以我們不必依靠通過無數的路徑來追逐數據，看看它是否能逃脫清洗。我們還需要研究像CERT中的SAST標準，這樣我們就可以避免那些可能有效但不安全的結構，同時也可以強制執行一些良好的行為，以加強我們的應用程序，盡管這些行為在正常（不安全）的編程中可能是不必要的。正確的SAST規則可以防止在DAST中發現的問題，而且我們不斷從DAST中學習如何配置和調整我們的SAST。

---

Parasoft滿足絕大多數行業標準

Parasoft是一家專門提供軟件測試解決方案的公司，幫助企業打造無缺陷的軟件。

從開發到質量檢查，Parasoft的技術通過集成靜態和運行時分析，單元、功能和API測試，以及服務虛擬化，在不犧牲質量和安全性的情況下加快軟件交付，節約交付成本。

強大的報告和分析功能可幫助用戶快速查明有風險的代碼區域，并了解新代碼更改如何影響其軟件質量，而突破性的技術將人工智能和機器學習添加到軟件測試中，使組織更容易采用和擴展跨開發和測試團隊的有效的軟件測試實踐。

Parasoft針對C/C++、Java、.NET和嵌入式的開發測試都有著30多年的深入研究，很多全國500強企業使用Parasoft的產品實現了軟件快速、高質量的交付。