一、什么是 DAST
DAST 也就是动态应用安全测试，简单来说，它就像是一个安全侦探，在应用程序运行的时候，去查找里面可能存在的安全漏洞。和静态测试不同，静态测试是在代码还没运行的时候就去分析，而 DAST 是在程序真正跑起来之后，通过模拟黑客攻击的方式，来看看应用有没有安全问题。
比如说，有一个电商网站，DAST 就会像黑客一样，尝试去输入一些特殊的字符，看看能不能绕过网站的登录验证，或者是能不能获取到不应该被访问的数据。如果发现有问题，就会及时告诉开发者，让他们去修复。
二、DAST 的应用场景
2.1 网站开发
在网站开发完成之后，就可以用 DAST 来做一次全面的安全检查。比如一个小型的博客网站，开发者在开发完成之后，使用 DAST 工具对网站进行扫描。DAST 工具可能会发现一些 SQL 注入漏洞，比如在搜索框输入特殊的 SQL 语句，如果网站没有做很好的过滤，就可能会导致数据库信息泄露。开发者根据 DAST 给出的报告，就可以对代码进行修改，增强网站的安全性。
2.2 移动应用开发
对于移动应用来说，DAST 同样重要。以一个社交类的移动应用为例，在应用发布之前，使用 DAST 工具进行测试。DAST 可能会发现应用在数据传输过程中没有进行加密，这样用户的聊天记录、个人信息等就可能被窃取。开发者可以根据这个问题，对应用的网络传输部分进行加密处理。
2.3 企业内部系统
企业内部的各种管理系统，如 ERP 系统、OA 系统等，也需要进行安全评估。假设一个企业的 ERP 系统，DAST 可以检测出系统是否存在跨站脚本攻击（XSS）漏洞。如果存在这个漏洞，攻击者就可以在系统中注入恶意脚本，获取企业的敏感信息。通过 DAST 发现并修复这些漏洞，可以保障企业数据的安全。
三、如何使用 DAST 进行安全风险评估
3.1 选择合适的 DAST 工具
现在市面上有很多 DAST 工具，比如 OWASP ZAP、Burp Suite 等。以 OWASP ZAP 为例，它是一个开源的 DAST 工具，使用起来比较方便。
3.2 配置 DAST 工具
在使用 OWASP ZAP 之前，需要进行一些配置。首先要设置扫描的目标，比如要扫描的网站地址。然后可以根据需要设置扫描的深度和范围。例如，如果只想扫描网站的登录页面和商品列表页面，可以在配置中指定这些页面的 URL。
3.3 运行扫描
配置好之后，就可以开始运行扫描了。OWASP ZAP 会模拟各种攻击行为，对目标进行全面的扫描。扫描过程可能会花费一些时间，具体时间取决于扫描的范围和深度。
3.4 分析扫描结果
扫描完成后，OWASP ZAP 会生成一份详细的报告。报告中会列出发现的安全漏洞，以及每个漏洞的详细信息，包括漏洞的类型、严重程度、影响范围等。比如报告中可能会显示“发现 SQL 注入漏洞，严重程度为高，影响登录功能”。开发者根据这些信息，就可以对漏洞进行修复。
3.5 修复漏洞
根据扫描报告，开发者可以对发现的漏洞进行修复。以 SQL 注入漏洞为例，修复的方法通常是对用户输入进行过滤和验证。以下是一个简单的 Python 示例（Python 技术栈）：
import sqlite3
# 假设这是一个简单的用户登录函数
def login(username, password):
# 不安全的 SQL 查询，存在 SQL 注入风险
# query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'"
# 安全的 SQL 查询，使用参数化查询
query = "SELECT * FROM users WHERE username =? AND password =?"
conn = sqlite3.connect('users.db')
cursor = conn.cursor()
cursor.execute(query, (username, password))
result = cursor.fetchone()
conn.close()
if result:
return True
else:
return False
# 测试登录函数
print(login('admin', 'password'))
在这个示例中，注释掉的部分是不安全的 SQL 查询，容易受到 SQL 注入攻击。而下面使用参数化查询的部分，就可以避免 SQL 注入漏洞。
四、DAST 的技术优缺点
4.1 优点
4.1.1 真实环境检测
DAST 是在应用程序实际运行的环境中进行测试，能够发现一些在开发环境中不容易发现的问题。比如，在开发环境中，数据库的权限设置可能比较宽松，而在生产环境中，权限设置会更严格。DAST 可以在生产环境中发现由于权限设置不同而导致的安全问题。
4.1.2 全面性
DAST 可以对应用程序的各个方面进行全面的扫描，包括网络层、应用层等。它可以发现各种类型的安全漏洞，如 SQL 注入、XSS、CSRF 等。
4.1.3 无需代码访问
对于一些第三方应用或者外包开发的应用，开发者可能无法获取到源代码。DAST 不需要访问源代码，只需要应用程序能够正常运行，就可以进行安全测试。
4.2 缺点
4.2.1 误报率较高
DAST 可能会产生一些误报，即报告中显示有漏洞，但实际上并不是真正的漏洞。这可能是由于工具的检测规则不够准确，或者是应用程序的一些特殊情况导致的。比如，有些应用程序会故意返回一些错误信息，DAST 可能会将其误认为是漏洞。
4.2.2 扫描时间长
对于大型的应用程序，DAST 的扫描时间可能会很长。因为它需要模拟各种攻击行为，对应用程序的各个部分进行全面的测试。这可能会影响应用程序的正常运行，尤其是在生产环境中。
4.2.3 无法检测内部逻辑漏洞
DAST 主要是从外部对应用程序进行测试，对于一些内部逻辑漏洞，比如业务逻辑错误导致的安全问题，DAST 可能无法检测到。
五、注意事项
5.1 测试环境选择
在进行 DAST 测试时，最好选择一个和生产环境相似的测试环境。这样可以更准确地发现应用程序在实际运行中的安全问题。如果在测试环境中发现的问题和生产环境不同，可能会导致修复的漏洞在生产环境中仍然存在。
5.2 定期测试
安全问题是不断变化的，新的漏洞也会不断出现。因此，需要定期对应用程序进行 DAST 测试。比如，每个月或者每个季度进行一次全面的扫描，及时发现和修复新出现的安全问题。
5.3 结合其他测试方法
DAST 虽然可以发现很多安全漏洞，但也有其局限性。可以结合静态代码分析、渗透测试等其他测试方法，来更全面地评估应用程序的安全性。比如，静态代码分析可以在开发阶段发现一些代码层面的安全问题，而渗透测试可以模拟真实的黑客攻击，发现一些 DAST 无法检测到的漏洞。
六、文章总结
DAST 是一种非常重要的安全风险评估方法，它可以在应用程序运行的过程中，发现各种安全漏洞。通过选择合适的 DAST 工具，进行正确的配置和扫描，分析扫描结果并修复漏洞，可以有效地提高应用程序的安全性。
虽然 DAST 有很多优点，但也存在一些缺点，比如误报率较高、扫描时间长等。在使用 DAST 进行安全风险评估时，需要注意测试环境的选择、定期进行测试，并结合其他测试方法，以确保应用程序的安全性。
Comments