一、代码审计的定义
代码审计是一种以发现安全漏洞，程序错误和程序违规为目标的源代码分析技能。
二、代码审计需要的能力
主要是动静结合，动指的是代码审计人员拥有调试的能力，通过调试直接定位问题代码，协助理解。静指的是需要代码审计人员有一定的编程基础，了解基础语法以及面向对象编程思想等。
三、代码审计常用思路
1.接口排查
找出所有的外部接口，从外部接口处跟踪参数的传递过程，观察是否有参数校验不严的变量传入高危方法中。
2.危险方法溯源
检查敏感方法的参数，并查看参数的传递和处理
3.功能点定向审计
根据经验判断该类应用通常会在那些功能中出现漏洞，直接审计该类功能的代码
4.第三方组件、中间件版本对比
检查web应用所使用的第三方组建或者中间件的版本是否收到已知的漏洞影响。
5.补丁比对
通过对补丁做比对，反推漏洞的出处。
6.黑盒测试+白盒测试
7.代码静态扫描工具+人工研判，代码扫描工具的特点是效率高，但是误报率也高。
8开发框架安全审计，审计web应用所使用的开发框架是否存在自身安全性问题，或者用户使用不当而引发的安全风险。
一、代码审计的定义代码审计是一种以发现安全漏洞，程序错误和程序违规为目标的源代码分析技能。 二、代码审计需要的能力...
一、JDK的安装下载地址：https://www.oracle.com/java/technologies/dow...
搭建vim源码审计环境 经过我三天的尝试，vim源码审计环境初步搭建完成(摸鱼三天) 插件 代码补全 其实很少需要...
1. 概述 代码审核，是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一...
0.审计五要素 1. 认定/具体审计目标 2. 初步业务活动目的和内容 3. 审计前提条件 4. 总体审计策略内容...
代码审计工具 1、三款自动化代码审计工具教程2、seay源代码审计系统 PHP核心配置详解 注意PHP各个版本中配...
?源代码审计分为白盒、黑盒、灰盒 白盒：拥有源代码进行审计黑盒：不知道源代码的情况下进行渗透审计灰盒：介于黑盒与白...
@(代码审计学习笔记) [TOC] 代码审计初尝 [图片上传失败...(image-f76662-15823837...
00×0 前言 最近也是边挖src边审计代码，总结下最近的php代码审计的一些思路，我一般按照顺序往下做，限于能力...
标签：工作 规则探索 今天看了几篇介绍经济效益审计的文章，对这个审计类型有了一些初步的理解。 经济效益审计，是以...
本文标题：2021-12-06-java代码审计初步认知
本文链接：https://www.haomeiwen.com/subject/bzvgxrtx.html
网友评论