Java SQL注入代码扫描程序？

Question

我想找出我的应用程序中的SQL语句，这些语句不是使用易受SQL注入攻击的PreparedStatement编写的。

任何可以执行此任务的代码扫描程序？

Answer 1

这两个工具对Java代码进行了许多安全检查：

http://suif.stanford.edu/~livshits/work/lapse/download.html

http://jsecscanner.sourceforge.net/

第一个肯定会检查SQL注入的漏洞。不确定第二个，但即使它没有，它将做其他有用的检查。两者都是Eclipse IDE的插件。

Answer 2

有许多付费和非付费工具可供使用。 您可以在链接下找到工具列表。

1. https://www.owasp.org/index.php/Appendix_A:_Testing_Tools
2. https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools

此外，您可以在https://www.owasp.org/中找到漏洞，漏洞和示例。

就个人而言，我使用的是商业版Veracode和AppScan。我喜欢Veracode用户友好，并且有很多功能。