输入/输出跟踪

如果 AppScan® Source for Analysis 可以跟踪从已知源到接收器或丢失的接收器的数据，那么会生成输入/输出跟踪。

输入/输出跟踪

如果代码分析可以跟踪感染的源到接收器或丢失的接收器，那么分析将生成输入/输出跟踪。跟踪的原理是从感染源获取数据并将其传递到一系列调用（最终写入不受保护的接收器）的方法。

源和接收器

  • 源：源是对程序的输入，如文件、servlet 请求、控制台输入或套接字。对于大多数输入源，返回的数据在内容和长度方面没有限制。在未检查某个输入的情况下，会将其视为已感染。源列在任一结果表的源列中。
  • 接收器：接收器可以是可将数据写出到的任何外部格式。接收器示例包括数据库、文件、控制台输出和套接字。数据未经检查就写入接收器可能预示着严重的安全漏洞。
  • 丢失的接收器是无法继续跟踪的 API 方法。