黑匣子发现的漏洞有多小？

Question

黑匣子渗透测试是一种检查web应用程序漏洞的方法.它可以找到一些漏洞，但不是全部。

平均而言，黑匣子存在的漏洞比例是多少？有人知道这方面的任何数据或证据吗？

Answer 1

文献中的一篇文章提供了关于这一主题的部分数据，1。

本文采用两种方法对9个web应用程序进行了分析：(1)黑匣子渗透测试；(2)专家手工代码评审。它比较了每个人发现了多少漏洞。

总之，分析发现共有91个漏洞。其中39例(43%)是通过黑匣子渗透试验发现的。其中71例(78%)是通过人工代码检查发现的。没有办法知道还有多少漏洞可能存在，而这两种技术都没有发现。

因此，一个可能的结论是，黑匣子渗透测试发现平均不到web应用程序中所有漏洞的一半。

另一个结论是，这两种方法的结合似乎要比单独一种方法更好；它们各自检测到另一种方法遗漏的一些漏洞。在上面提到的论文中，这两种方法都不足以检测所有的漏洞:手动检查发现52个漏洞(57%)没有被黑匣子隐藏，而黑匣子隐藏发现20个漏洞(22%)没有被手动代码检查检测到。

然而，本文存在一些局限性。它只看了9个web应用程序。很难知道这些是否代表所有的网络应用程序在野外。手动代码检查只由一个审阅者执行。黑匣子只能由一个测试人员执行，并且只使用一个工具.目前尚不清楚这些方法的有效性是因人而异，还是因人而异。因此，这些数据只是第一次一瞥，不能被视为最终的答案。

1马修·芬夫特，大卫·瓦格纳。网络应用程序开发工具与安全关系的探讨。WebApps 2011。

Answer 2

这个问题很难解决，除非是停下来的问题。

我想你可以说，与其他技术相比，百分比更小或更大，但通常不会是相同的、零的或全部的(特别是在相同的时间框架内有相同的眼睛)。

为明确起见更新：

一个更好的问题是，“当应用程序笔测试与源代码辅助和商业SAST/IAST相结合时，发现的漏洞比普通的DAST黑匣子多出了多少百分比？”