simpleIAST

简体中文 / English

基于污点追踪的灰盒漏洞扫描工具，实时识别并展示 Java Web 应用中的常见安全漏洞。

---

简介

simpleIAST 是一款基于 Java Agent 的灰盒漏洞扫描工具，利用污点追踪技术在应用运行时检测 Java Web 应用中的安全风险，包括但不限于 SQL 注入、反序列化漏洞、XSS 和 XXE 等常见漏洞。工具轻量易集成，兼容主流中间件与 JDK 版本，适合 DevSecOps 场景使用。

---

快速开始

克隆项目

git clone https://github.com/keven1z/simpleIAST.git
cd simpleIAST

使用 Docker 启动

cd docker/
chmod +x ./deploy.sh
sudo ./deploy.sh

• 前端访问地址：http://[your_ip]:8443/
• 默认登录：用户名 admin，密码 123456
• 前端端口：8443，后端端口：81

Agent 启动方式

1. 随应用启动注入

java -javaagent:iast-agent.jar -jar [app.jar]

2. 应用启动后以 attach 方式注入

java -jar iast-engine.jar -m install -p [pid]   # 安装 Agent  
java -jar iast-engine.jar -m uninstall -p [pid] # 卸载 Agent

请确保 iast-agent.jar 与 iast-engine.jar 位于同一目录。

---

特性与兼容性

支持中间件

• Tomcat
• Spring Boot
• Jetty
• Weblogic
• GlassFish
• WildFly
• TongWeb
• Resin
• Undertow

支持 JDK 版本

• JDK 1.8
• JDK 11

检测漏洞类型（含严重等级）

序号	漏洞类型	严重程度
1	SQL 注入	高危
2	反序列化漏洞	严重
3	SSRF（服务端请求伪造）	中危
4	URL 跳转漏洞	中危
5	XXE（XML 外部实体注入）	高危
6	命令注入	严重
7	文件上传漏洞	中危
8	XSS（跨站脚本攻击）	中危
9	Spring EL 表达式注入	高危
10	数据库弱口令	中危
11	XPATH 注入	高危
12	硬编码漏洞	中危
13	Fastjson 反序列化漏洞	严重

---

---

benchmark

benchmark说明文档

进一步文档

更多使用指南与文档内容请访问项目 Wiki：

• 快速开始

---

许可

本项目采用 Apache License 2.0 协议，详见 LICENSE 文件。