0x00 前言

AWVS作为黑盒测试，主动扫描的比较好用的工具，碰到部分网站扫描结果一堆漏洞，部分漏洞复现比较难，这里找了几个常见的，以往一直忽略的漏洞，详细研究一下，到最后成功复现

Read More

IAST作为开展sdl中黑白盒测试的有效补充，还是很有必要去了解使用的。笔者为了完善公司的SDL流程，调研了开源的IAST产品进行测试和内部推广

Read More

0x00 前言

之前测试了AWVS扫描器的IAST功能，使用上不是很方便，需要对每个服务启动一个扫描任务才可以进行扫描，比较主动，无法作为独立的被动式扫描器使用，脏数据也是比较多

对比awvs和netsparker，在前后端分离场景下，awvs扫描器可以分析swagger文件进行全接口自动化安全扫描，开发人员可以使用该功能增加后端系统的安全测试效率。在多人协作的测试场景下，netsparker扫描器可以开启代理端口，充分导入有效流量进行自动化安全测试，发现隐蔽的安全漏洞

Read More

0x00 前言

很久没有更新blog了，这次把几个笔记分享一下，AWVS自带的IAST功能，很多人都不知道，这里记录一下IAST如何使用

Read More

0x00 前言

相对于awvs和netsparker的IAST，百度iast为主动型插桩技术，无需人工配置任务及代理等，由agent采集请求及hook点信息，自动选择扫描漏洞类型，极大的增加覆盖率和效率，减少脏数据产生

主动型扫描，不适用于参数加密、编码、防重放等场景

管理后台部署参考 OpenRASP 部署

Read More