SQL-Injektionssucher

Question

Wir haben ein Java-basiertes Client/Server-Projekt. Kürzlich hat einer der Tester beim Testen der Anwendung eine SQL-Injection-Schwachstelle gefunden.

Wir haben nicht genügend Ressourcen, um die Anwendung für SQL-Injektionen manuell zu überprüfen.

Gibt es SQL-Injection-Finder/statische Code-Analysatoren, die SQL-Schwachstellen im Java-Code finden?

Answer 1

Ja!

Hier sind einige:

• Armorize CodeSecure
• FindBugs
• YASCA
• HP Fortify Static Code Analyzer
• Parasoft
• klockwork INSIGHT
• coverity Static Analysis
• VeraCode
• Checkmarx
• IBM Appscan

lesen: OWASP's List of Source Analysis Tools

Answer 2

Findbugs hat ein Modul, um nach ihnen zu suchen, aber habe es selbst noch nicht ausgeführt. http://findbugs.sourceforge.net/api/edu/umd/cs/findbugs/detect/FindSqlInjection.html