Trình tìm nạp SQL

Question

Chúng tôi có dự án máy khách/máy chủ dựa trên Java. Gần đây, một trong những người thử nghiệm đã tìm thấy lỗ hổng SQL injection trong khi thử nghiệm ứng dụng.

Chúng tôi không có đủ tài nguyên để kiểm tra thủ công ứng dụng để tiêm SQL.

Có trình tìm kiếm SQL injection/phân tích mã tĩnh nào tìm thấy lỗ hổng SQL trong mã Java không?

Answer 1

Có!

Dưới đây là một số:

• Armorize CodeSecure
• FindBugs
• YASCA
• HP Fortify Static Code Analyzer
• Parasoft
• klockwork INSIGHT
• coverity Static Analysis
• VeraCode
• Checkmarx
• IBM Appscan

đọc: OWASP's List of Source Analysis Tools

Answer 2

Findbugs không có mô-đun để kiểm tra, nhưng chưa tự chạy. http://findbugs.sourceforge.net/api/edu/umd/cs/findbugs/detect/FindSqlInjection.html