安全测试：安全测试工具：动态应用安全测试(DAST)工具实践.pdfVIP

安全测试：安全测试工具：动态应用安全测试(DAST)工具实

践

1动态应用安全测试(DAST)概述

1.1DAST工具的基本概念

动态应用安全测试（DynamicApplicationSecurityTesting，简称DAST）是一

种在应用程序运行时检测安全漏洞的方法。DAST工具通过模拟攻击者的行为，

向目标应用发送各种测试数据包，以识别潜在的安全问题。这些工具通常在应

用的外部接口进行测试，无需访问源代码，因此它们可以检测到在运行时才能

显现的漏洞，如SQL注入、跨站脚本（XSS）、缓冲区溢出等。

1.1.1特点

黑盒测试：DAST工具不知道应用的内部结构，仅通过外部接口进

行测试。

实时检测：在应用运行时进行测试，能够发现运行时的漏洞。

自动化：大多数DAST工具提供自动化扫描功能，可以定期执行

测试。

1.2DAST工具的工作原理

DAST工具的工作流程通常包括以下几个步骤：

1.爬虫阶段：工具首先对目标应用进行爬取，以发现所有可访问的

URL和功能点。

2.测试阶段：工具向应用发送一系列测试数据包，这些数据包包含

可能触发安全漏洞的输入。

3.分析阶段：工具分析应用的响应，以确定是否存在安全漏洞。

4.报告阶段：工具生成详细的报告，列出发现的漏洞及其位置，提

供修复建议。

1.2.1示例：使用OWASPZAP进行DAST测试

#启动OWASPZAP

zap.sh-daemon-port8090

#配置代理，使浏览器通过ZAP发送请求

#在浏览器中设置代理服务器为localhost，端口为8090

1

#访问目标网站，ZAP将自动开始爬取

#打开浏览器，访问目标网站，例如：

#执行主动扫描

curl-XPOSThttp://localhost:8090/JSON/ascan/action/scan/?apikey=123456789target=http://

#获取扫描结果

curl-XGEThttp://localhost:8090/JSON/ascan/view/alerts/?apikey=123456789

在上述示例中，我们使用OWASPZAP（一个流行的DAST工具）对

进行安全测试。首先，我们启动ZAP并配置浏览器通过ZAP

代理访问目标网站。接着，我们通过ZAP的API执行主动扫描，并获取扫描结

果。

1.3DAST工具与SAST工具的区别

DAST工具与静态应用安全测试（StaticApplicationSecurityTesting，简称

SAST）工具的主要区别在于测试的时机和方式：

DAST：在应用运行时进行测试，通过模拟攻击来检测漏洞。它不

需要源代码，适用于检测运行时的漏洞。

SAST：在应用的源代码层面进行测试，通过分析代码结构来识别

潜在的安全问题。它需要访问源代码，适用于早期发现设计和编码阶段

的漏洞。

1.3.1示例对比

假设我们有一个简单的Web应用，其中包含一个用户输入字段，该字段可

能被用于SQL注入攻击。

SAST工具示例

#假设的源代码片段

defget_user_data(username):

query=SELECT*FROMusersWHEREusername=+username+

#SAST工具会在此处警告，因为直接将用户输入拼接到SQL查询中可能导致SQL注入

results=execute_query(query)

returnresults

SAST工具在分析上述代码时，会警告直接将用户输入拼接到SQL查询中可

能导致SQL注入，因为它在源代码层面检测到了潜在的漏洞。

2

DAST工具示例

#使用DAST工具测试上述应用

#假设DAST工具向应用发送包含恶意输入的请求

#恶意输入：