近年来，IAST作为一种新的应用安全测试技术，受到广泛的关注，慢慢出现了一些IAST开源项目，可以让更多的个人或者企业参与和体验。
本文就目前网络中找到的几款IAST工具进行部署测试，记录一些使用过程和体验。
1、openrasp-iast
openrasp-iast 是一款灰盒扫描工具，目前开源的IAST扫描器，通过安装Agent和扫描器，能够结合应用内部hook点信息，针对获取到的url请求参数进行fuzz，从而检测到安全漏洞。
支持的编程语言：Java、PHP。
官方文档：
https://rasp.baidu.com/doc/install/iast.html
2、火线~洞态IAST
洞台IAST提供SAAS平台，个人用户通过填写问卷注册登录，下载Agent进行应用程序部署，正常访问应用，就可以触发漏洞检测。漏洞结果提供比较详细的HTTP数据包和污点流图，可用于快速验证和复现漏洞。
支持的编程语言：Java、C#、Net Core。
官方主页：
https://hxsecurity.github.io/DongTaiDoc/#/
3、Semmle QL
以一种独特的方法寻找代码中的漏洞，将代码当成数据，将分析问题变成对数据库的请求。
支持的编程语言：Java，Python，JavaScript，TypeScript，C＃，Go，C/C ++。
免费检测平台：
https://lgtm.com
本文作者：Bypass007
本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/160046.html
必填 您当前尚未登录。 登录？ 注册
必填（保密）