分类栏目
新闻资讯
联系我们
联系人：陈经理
手机：13570341859
电话：13570341859
邮箱：apple.qingxia@163.com
地址：广州市增城区新塘镇奥园康威四街56号1118号房
源代码审计是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析。源代码安全漏洞扫描分析结合结合OWASP十大Web漏洞以及设备、CVE公共漏洞字典表、CWE、CNVD等权威漏洞库规则集、软件厂商公布的漏洞库，结合专业源代码扫描工具对各种程序语言编写的源代码安全漏洞扫描分析。采用分析工具+人工审查方法，发现程序中存在的安全漏洞，分析应用程序的安全状态，提供代码级修复建议，从根源修复漏洞。
v 报告适用于：政府/电网公司信息化项目、大型定制软件的上线前验收验收，招投标，信息系统上线第三方测试，科技项目验收、项目申报，安全入网，上线前安全测评，项目结题等。
v 资质权威齐全，报告合规有效（报告封面盖有CNAS和CMA章）
拥有国家认可的专业检测资质（CNAS和CMA），出具的测试报告具备独立性、权威性与法律效力。
v 测试方式：30%工具扫描+70%人工审查。
支持多种语言：Java、JSP、JavaSript、VBSript、C#、ASP.net、VB.Net、VB6、C/C++、ASP、PHP、Python、Swift、Ruby、Perl、PL/SQL、Android、OWASP ESAPI、MISRA、Objective-C(iOS)、API及第三方语言。
v 测试方法：结合黑盒、白盒、灰盒测试手段，从代码、配置、网络、业务、权限等维度全面发现安全隐患。
v 典型场景：上线前安全验收、安全入网、新业务上线前安全测评、合规要求等。
一、核心特征
特征 | 说明 |
独立性 | 与项目无利益关联，避免开发方自测试的主观偏差，结论客观公正 |
权威性 | 由具备CNAS、CMA等资质的机构执行，报告可用于上线前安全验收、安全入网、新业务上线前安全测评、合规要求等场景 |
标准化 | 遵循以下标准，覆盖全维度质量评估： v GB/T 34944-2017《源代码漏洞测试规范》； 《OWASP_Code_Review_Guide》； v 《OWASP_Testing_Guide》； v 《OWASP_Top_10_2010》； v 《Payment Card Industry Data Security Standard (PCI DSS)》 v 国家电网公司企业标准Q/GDW 1929.5-2013《信息系统应用安全第5部分:代码安全检测》 |
可追溯性 | 测试过程、缺陷记录、结果报告全程留痕，可溯源验证 |
二、商用测试工具：
三、测试内容：
- 常见漏洞检测：SQL注入、XSS跨站脚本、命令注入、文件上传漏洞、弱加密
- 代码安全规范检查：不安全函数调用、权限硬编码、密钥明文存储
- 逻辑漏洞：业务逻辑绕过、权限控制缺失、参数篡改风险
- 编码质量：代码冗余、安全缺陷、资源未释放、风险调用接口
四、测试类型
支持主流语言：
Java、JSP、JavaSript、VBSript、C#、ASP.net、VB.Net、VB6、C/C++、ASP、PHP、Python、Swift、Ruby、Perl、PL/SQL、Android、OWASP ESAPI、MISRA、Objective-C(iOS)、API及第三方语言。
1. Java语言源代码漏洞测试
Java的审计核心在于其成熟的生态和广泛的企业级应用
v 测试目标：
业务逻辑缺陷 + 框架/生态组件安全
v 方法论：
遵循国家标准GB/T 34944-2017，该标准将漏洞归为9大类共44种具体问题。
v 典型漏洞：
注入类：SQL注入、命令注入、LDAP注入等。
XML外部实体注入（XXE）：解析XML时处理不当。
不安全的反序列化：处理不可信序列化数据导致RCE。
配置与加密问题：如硬编码凭证、弱加密算法等。
测试工具：商业级Fortify。
2. C/语言源代码漏洞测试
v 测试目标：
内存安全 + 危险函数
3. C++语言源代码漏洞测试
v 测试目标：
在 C 漏洞基础上 + 面向对象/现代C++特性
4. u其他语言
其他语言：把握特性，专项治理
v Go / Python：介于Java和C/C++之间，关注注入、路径遍历、反序列化等通用漏洞，也需关注各自生态的特有风险（如Python的pickle反序列化）。
v JavaScript/TypeScript：聚焦原型链污染、跨站脚本（XSS）、不安全组件（如高危npm包）。
v PHP：持续关注文件包含、系统命令注入、反序列化及弱类型比较问题。
四、源代码审计的价值：
五、标准化测评流程
1. 测评准备：明确测试目标、范围、依据标准，收集软件需求文档、环境配置等资料
2. 方案设计：制定测试计划，设计测试用例，搭建符合真实业务场景的测试环境
3. 测试执行：按计划开展功能、性能、兼容性等各类测试，记录缺陷与数据
4. 缺陷分析与修复验证：整理缺陷报告，反馈给开发方修复，并对修复后的版本进行回归测试
5. 出具报告：汇总测试结果，出具正式的第三方软件测试报告，明确结论与建议。
六、我们的服务优势
1. 深耕软件检验检测行业，专业经验丰富
核心团队深耕信息化检验检测领域多年，熟悉信息化业务流程、各行业标准与监管要求，具备信息系统测试案例经验，精准把握各类信息系统测试核心要点，针对性解决行业专属问题。
2. 资质权威齐全，报告合规有效
拥有国家认可的专业检测资质（CNAS和CMA），出具的测试报告具备独立性、权威性与法律效力。
3. 测试体系完善，覆盖全维度需求
构建功能测试、性能测试、安全测试、兼容性测试、灾备测试、安全性测试、源代码审计等合规测试一体化服务体系，采用专业测试工具与科学测试方法，全方位覆盖系统上线前所有检测维度，不留测试盲区。
4. 全流程闭环服务，售后保障到位
提供从需求调研、方案制定、测试执行、问题整改跟进到回归测试、报告出具的全流程闭环服务，配备专属技术团队全程对接，提供专业整改指导与技术咨询，确保系统顺利通过上线验收。
5. 严守行业机密，保障数据安全
严格遵守数据安全管理规定，签订保密协议，对测试过程中涉及的运行数据、用户信息、企业核心数据严格保密，杜绝数据泄露风险，守护企业核心利益。
七、合作咨询
欢迎电力、政府、医院、高校、事业单位及企业等行业各单位来电咨询，我们将为您量身定制专属测试解决方案。
咨询热线：13570341859（微信同号）
服务邮箱：793441266@qq.com
- 上一条：政府投资信息化项目第三方验收测评
- 下一条：应用系统安全测试
