Introduction

漏洞修復得越早，修復成本就越低。靜態應用程式安全測試（Static Application Security Testing, SAST）扮演著第一道自動化關卡，在程式碼完全不需編譯執行、環境尚未建置前，直接對原始碼檔案進行剖析。

Discussion

SAST 並非單純的關鍵字文字比對，而是結合編譯器前端技術對程式結構進行結構化分析：

• 第 1 步：Code Parsing 把程式碼畫成結構樹（Abstract Syntax Tree / AST）
  • 先解析語法骨架，建立結構樹狀圖來理解邏輯關聯。
• 第 2 步：Data Flow & Taint Analysis 追蹤骯髒資料流向（污點分析）
  • 追蹤未受信任的資料從進入點出發，一路流向資料庫或系統指令等危險端點
• 第 3 步：Control Flow Analysis 畫出所有可能的執行路線（Control Flow Graph / CFG）
  • 檢查是否存在永遠走不到的 Dead Code，或是藏有可疑特定日期的 Backdoor 邏輯。
• 第 4 步：Pattern Matching & Rule-based Scanning 翻漏洞字典比對（規則庫比對）
  • 拿業界公認的弱點庫（如 MITRE CWE Top 25）逐一對照

揪出潛伏的「定時炸彈」

Takeaways

SAST (靜態應用程式安全測試, Static Application Security Testing)

DAST (動態應用程式安全測試, Dynamic Application Security Testing)

IAST (互動式應用程式安全測試, Interactive Application Security Testing)

RASP (執行時期應用程式自我保護, Runtime Application Self-Protection)

Further Reading

OWASP Security Culture
https://owasp.github.io/www-project-security-culture/v10/7-Security_Testing/