官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
Java 代码审计工具—铲子 SAST 的使用案例
chanziSAST- 关注
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
Java 代码审计工具—铲子 SAST 的使用案例
铲子 SAST是一款简单易用的JAVA SAST（静态应用程序安全测试）工具，旨在为安全工程师提供一款简单、好用、价格厚道的代码安全扫描产品。
本文主要介绍铲子 sast 的使用案例。
概述
- 本页以扫描并审计一个项目为例，介绍铲子的使用
创建项目
- 创建项目界面如图
开始扫描
- 扫描过程如图，通常一个中小型的项目几分钟即可完成扫描
查看任务
- 可以在任务窗口查看任务列表，右键菜单查看任务详情
漏洞审计
- 可以在扫描结果窗口进行漏洞审计、打标
- 下图是一个mybatis xml写法的sql注入的演示
- 下图是一个命令注入的演示
下图是一个XXE漏洞的演示
下图是一个密钥硬编码在配置文件的演示
下图是一个ssrf漏洞的演示
下图是一个url重定向漏洞的演示
下图是一个actuator配置安全漏洞的演示
下图是一个websocket 命令注入漏洞的演示
下图是一个java反序列化漏洞的演示
其他漏洞大家可自行测试
漏洞筛选
数据流分析
- 对漏洞数据流进行分析是最关键的一步，进而确定漏洞是否真实存在
漏洞打标
- 对漏洞审计完成后，进行打标，标记为漏洞/误报/重复（快捷键mac commond+s 或windows ctrl+s）
导出报告
- 如有需要，可以在任务窗口导出word报告，或在扫描结果窗口导出excel格式漏洞结果
工具下载地址
- https://github.com/Chanzi-keji/chanzi
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
本文为 chanziSAST 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
chanziSAST LV.3
chanziSAST 是一款简单好用的 Java 代码审计工具
- 5 文章数
- 1 关注者
java代码审计学习
2024-11-20
铲子SAST：一款针对java代码审计的工具之反编译扫描
2024-11-12
铲子 SAST：一款针对 Java 代码审计工具的内置 规则
2024-10-28