simpleIAST

simpleIAST是一种交互式应用程序安全测试工具。

1. 快速开始

clone项目

git clone https://github.com/keven1z/simpleIAST.git

docker运行

cd ./simpleIAST/docker/
docker-compose up -d

访问

访问地址: http://[your_ip]:8443/ 默认用户名: admin 默认密码: 123456

前端端口: 8443

后端端口: 81

2. Agent启动

将iast-agent.jar和iast-engine.jar 放在同一目录

跟随应用启动运行

java -javaagent:iast-agent.jar -jar [app.jar] # 

应用启动完成attach方式运行

# attach方式安装agent
java -jar iast-engine.jar -m install -p [pid] 
# attach方式卸载agent
java -jar iast-engine.jar -m uninstall -p [pid] 

3. 兼容

支持中间件

• Tomcat
• Springboot
• Jetty
• Weblogic
• glassfish
• WildFly
• TongWeb
• Resin
• Undertow

支持JDK

• jdk 1.8
• jdk 11

4. 支持漏洞

序号	漏洞类型	危险等级
1	SQL注入	高危
2	反序列化漏洞	严重
3	SSRF（服务端请求伪造）	中危
4	URL跳转漏洞	中危
5	XXE（XML外部实体注入）	高危
6	命令注入	严重
7	文件上传漏洞	中危
8	XSS（跨站脚本攻击）	中危
9	Spring EL表达式注入	高危
10	数据库弱口令	中危
11	XPATH注入	高危
12	硬编码漏洞	中危
13	Fastjson反序列化漏洞	严重

5. 漏洞详情展示

6. 使用文档

• 快速开始
• 项目
• 应用
• 漏洞
• 设置

7. 计划

• API改造
• 漏洞检测数量，覆盖ant-application-security-testing-benchmark
• 服务端交互界面
• 支持多种中间件
• sql注入漏洞误报修复
• 心跳包重构

8. 鸣谢

IntelliJ IDEA 是一个在各个方面都最大程度地提高开发人员的生产力的 IDE，适用于 JVM 平台语言。

特别感谢 JetBrains 为开源项目提供免费的 IntelliJ IDEA授权

9. License

本项目采用 Apache License 2.0 开源授权许可证。