共计 1033 个字符,预计需要花费 3 分钟才能阅读完成。
导读 | 被动型 IAST 被认为是 DevSecOps 测试阶段实现自动化安全测试的最佳工具,而就在前几天,洞态 IAST 正式开源了,这对于甲方构建安全工具链来说,绝对是一个大利好。 |
被动型 IAST 被认为是 DevSecOps 测试阶段实现自动化安全测试的最佳工具,而就在前几天,洞态 IAST 正式开源了,这对于甲方构建安全工具链来说,绝对是一个大利好。
我在 5 月份的时候就申请了洞态 IAST 企业版内测,算是比较早的一批用户了。聊聊几个我比较在意的问题,比如 API 接口覆盖率、第三方开源组件检测以及脏数据等问题,而这些都是安全测试过程中的痛点,那么在这款工具的应用上,我们将找到答案。
在这里,让我们做一个简单的安装部署,接入靶场进行测试体验。
1、快速安装与部署
本地化部署可使用 docker-compose 部署,拉取代码,一键部署。
git clone https://github.com/HXSecurity/DongTai.git
cd DongTai
chmod u+x build_with_docker_compose.sh
./build_with_docker_compose.sh
首次使用默认账号 admin/admin 登录,配置 OpenAPI 服务地址,即可完成基本的环境安装和配置。
2、初步体验
以 Webgoat 作为靶场,新建项目,加载 agent,正常访问 web 应用,触发 api 检测漏洞。
java -javaagent:./agent.jar -jar webgoat-server-8.1.0.jar --server.port=9999 --server.address=0.0.0.0
检测到的漏洞情况:
这里,推荐几个使用 java 开发的漏洞靶场:
Webgoat:https://github.com/WebGoat/WebGoat
wavsep:https://github.com/sectooladdict/wavsep
bodgeit:https://github.com/psiinon/bodgeit
SecExample:https://github.com/tangxiaofeng7/SecExample
最后,通过将 IAST 工具接入 DevOps 流程,在 CI/CD pipeline 中完成 Agent 的安装,就可以实现自动化安全测试,开启漏洞收割模式,这应该会是很有意思的尝试。
正文完
星哥说事-微信公众号
![post-qrcode](https://www.xgss.net/wp-content/uploads/2023/07/二维码-微信公众号256x256.jpg)