Application Security Testing 应用安全测试

SAST

Static Application Security Testing, or Static Analysis

属于白盒测试

• 基于关键字：RegEx 正则匹配
• 基于AST(Abstract Syntax Tree)：抽象语法树，语义分析

• 基于IR/CFG

  • IR(Intermediate Representation) 一种类似于汇编语言的中间码
  • CFG(Control Flow Graph) 控制流图

  

• 基于QL 一种面向对象的查询语言，用于从关系数据库中查询数据的语言

DAST

Dynamic～ 动态～

属于黑盒测试，对环境依赖强，无法保障代码覆盖率

• SQL注入
• XSS攻击

IAST

Interactive~ 交互式

属于灰盒测试

RASP

Run-time~Protection 运行时应用安全保护