Java SQL注入代碼掃描器？

Question

我想找出我的應用程序中沒有使用PreparedStatement編寫的SQL語句，這些語句容易受到SQL注入攻擊。

任何代碼可以完成這項工作的掃描儀？

Answer 1

這兩個工具做Java代碼的一些安全檢查：

http://suif.stanford.edu/~livshits/work/lapse/download.html

http://jsecscanner.sourceforge.net/

第一個肯定是檢查漏洞進行SQL注入。不知道第二個，但即使它不會做其他有用的檢查。兩者都是Eclipse IDE的插件。

Answer 2

有許多有償和無償的工具可用。 您可以在鏈接下找到工具列表。

1. https://www.owasp.org/index.php/Appendix_A:_Testing_Tools
2. https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools

此外，你可以找到缺陷，漏洞和存在例如https://www.owasp.org/。

就我個人而言，我已經使用商業的Veracode和AppScan。我喜歡Veracode它的用戶友好和有很多功能。