Rilevatori di iniezione SQL

Question

Abbiamo un progetto client/server basato su Java. Recentemente uno dei tester ha rilevato una vulnerabilità di SQL injection durante il test dell'applicazione.

Non abbiamo abbastanza risorse per controllare manualmente l'applicazione per le iniezioni SQL.

Esistono rilevatori di analisi SQL/analizzatori di codici statici che trovano vulnerabilità SQL nel codice Java?

Answer 1

Sì!

Ecco alcuni:

• Armorize CodeSecure
• FindBugs
• YASCA
• HP Fortify Static Code Analyzer
• Parasoft
• klockwork INSIGHT
• coverity Static Analysis
• VeraCode
• Checkmarx
• IBM Appscan

Leggi: OWASP's List of Source Analysis Tools

Answer 2

Findbugs ha un modulo per controllarli, ma non l'ha ancora eseguito. http://findbugs.sourceforge.net/api/edu/umd/cs/findbugs/detect/FindSqlInjection.html