漏洞检测的漏洞方法分为

漏洞检测不是拿着扫描器乱点一通。它分两大类：静态分析和动态测试，检测中间还夹着个半吊子——人工审计。法分先记住这个骨架，漏洞剩下的检测是血肉。

静态分析，法分说白了就是漏洞“读代码找茬”。不运行程序，检测光靠语法树、法分数据流、漏洞控制流图去揪毛病。检测我见过最狠的法分案例，是漏洞某银行核心系统里一个C语言函数，参数指针没判空，检测静态工具在第三层嵌套循环里嗅到了野指针的法分腥味。人眼早花了，工具还在逐行较真。这类方法擅长抓内存泄漏、SQL注入、硬编码密钥，因为它能看见变量怎么流动，函数怎么调用。缺点也明显——误报率能让人崩溃。一个大型Java项目跑完，上千条告警，九成是死代码或误判。你得学会跟工具讨价还价，调规则、设白名单，不然光筛报告就能耗掉半天。

动态测试则是另一套逻辑——让程序跑起来，喂它脏数据、畸形请求、异常输入，看它会不会吐、会不会崩、会不会泄露不该说的秘密。最典型的是模糊测试（Fuzzing），拿一堆随机字节往解析器里灌。Chrome的漏洞赏金计划里，大量高危漏洞就是靠Fuzzing撞出来的。有个哥们儿跟我说过，他拿AFL（一款模糊测试工具）跑一个开源PDF解析器，跑了三天三夜，突然在某个畸形对象上触发了堆溢出，崩溃日志里藏着任意代码执行的路径——那感觉，跟挖到金矿一样。动态测试的痛点在于覆盖率，你永远不知道哪些路径没跑到。所以聪明人会把代码覆盖率工具挂上，盯着行覆盖率和分支覆盖率，低于80%就继续加料。

静态和动态之间，还蹲着个杂交品种——交互式检测（IAST）。它像装了监控的运行时，一边跑业务，一边实时标记代码执行路径和可疑数据流。这玩意儿在DevOps里特别吃香，因为它能精准告诉你“这个洞是从哪个HTTP参数进来的，流经哪个函数，最后落在哪个危险调用上”。我见过一个支付团队，上线前跑半小时IAST，直接揪出三个越权漏洞——要搁动态黑盒测，得模拟几百个用户会话才可能撞上。

人工审计呢，别指望它扫量，但它是压舱石。机器永远不懂业务逻辑漏洞——比如“用户A能改用户B的订单金额”这种，代码语法上完全合法，但业务规则上就是漏洞。老练的安全工程师会盯着关键交易流程，一行行问：这个状态校验能绕过吗？这个ID是自增的吗？有没有可能并发提交？我认识一个甲方安全负责人，他规定每次发版前，核心支付链路必须人工过一遍，不靠工具，就靠脑子。他说过一句糙话：“工具能帮你挡住九成的傻逼错误，剩下那一成聪明错误，得靠人抽它。”

实际项目里没人只押一种。标准打法是这样：先跑静态扫描，把低级错误清掉；再上动态Fuzzing和自动化渗透，探接口和协议层的雷；最后挑高危模块做人工审计。顺序别反了，你要是先人工审一个刚写完的模块，大概率在跟拼写错误和空指针搏斗，纯浪费精力。反过来，静态扫完不动态测，等于只看病历不把脉，漏掉运行时的真实症状。

说个具体的。去年帮一家物流公司做检测，他们的订单查询接口是Java写的。静态扫描报了三十多个“潜在SQL注入”，我一看，全是MyBatis的`${ }`拼接，但参数被全局过滤器转义了——误报。动态测试却意外炸出一个越权漏洞：直接改URL里的订单号数字，响应里带着别人的收货地址。这个工具绝逼发现不了，因为代码逻辑上没毛病，是权限校验缺失。最后靠人工审计，在拦截器配置里发现白名单路径漏了`/api/order/detail`。你看，三种手段各有盲区，叠起来才勉强算张网。

漏洞检测这事，别迷信任何单一神器。静态是X光，动态是压力测试，人工是侦探。你要真想睡得着觉，三样都得备着，还得知道什么时候用哪个。

(责任编辑：休闲)