OWASP 代码审计指南 V2.0 中文版 注：本指南版权归 OWASP Foundation 所有。由刘传兴、孙维康翻译，仅供业内人士学习参考。 1 目 录 1 介绍 ......................................................................................................................................................... 10 1.1 前言 ................................................................................................................................................ 10 1.2 介绍 ................................................................................................................................................ 11 1.2.1 主要内容 ............................................................................................................................... 11 1.3 如何使用本文档.......................................................................................................................... 11 2 相关技术和方法 .................................................................................................................................. 13 2.1 代码安全审计 .............................................................................................................................. 13 2.1.1 代码审计技术参考............................................................................................................. 13 2.1.2 为什么代码有漏洞？ ........................................................................................................ 14 2.1.3 什么是代码安全审计？ ................................................................................................... 16 2.1.4 代码审计和代码安全审计的区别是什么？ ............................................................... 17 2.1.5 确定安全源代码审计的规模？ ...................................................................................... 17 2.1.6 我们无法保证自己的安全 ............................................................................................... 20 2.1.7 耦合源代码审计和渗透测试 .......................................................................................... 22 2.1.8 代码审计对开发实践的潜在优势 ................................................................................. 24 2.1.9 代码安全审计技术方面 ................................................................................................... 27 2.1.10 代码审计和合规............................................................................................................... 28 2 2.1.11 与代码审计相关的 PCI-DSS 要求 ............................................................................ 29 2.2 方法 ................................................................................................................................................ 30 2.2.1 开发代码审计流程时要考虑的因素............................................................................. 30 2.2.2 在软件开发生命周期中整合代码审计 ........................................................................ 32 2.2.3 何时进行代码审计............................................................................................................. 34 2.2.4 敏捷和瀑布开发的代码安全审计 ................................................................................. 37 2.2.5 基于风险的代码审计方法 ............................................................................................... 37 2.2.6 代码审计准备 ...................................................................................................................... 40 2.2.7 代码审计发现和收集信息 ............................................................................................... 43 2.2.8 静态代码分析 ...................................................................................................................... 47 2.2.9 应用威胁建模 ...................................................................................................................... 49 2.2.10 指标和代码审计............................................................................................................... 60 2.2.11 爬行代码 ............................................................................................................................ 65 3 安全代码审计技术参考 .................................................................................................................... 66 3.1 A1 注入漏洞 ................................................................................................................................ 66 3.1.1 概述什么是注入 ................................................................................................................. 66 3.1.2 SQL 注入 ............................................................................................................................... 67 3.1.3 JSON (JavaScript 对象符号)................................