DAST黑盒漏洞扫描器第三篇：如何实现安全无害化测试？

本文共计4353个文字，预计阅读时间需要18分钟。

《漏洞扫描器无懈可击篇+0X01+前言+乙方扫描器中一个非常重要的功能重点，就是无懈可击，目的是尽量降低业务影响度。做过乙方扫描器，基本对反制都很有经验。我们说我们》

漏洞扫描器无害化篇 0X01 前言

甲方扫描器其中一个很重要的功能重点，就是无害化，目的是尽量降低业务影响到可接受程度。
做过甲方扫描器，基本上对于反馈都有所熟悉。
“我们的服务有大量报错，请问和你们有关么”
“我们的接口昨晚请求量飙升，这是扫描器造成的么”
扫描，应该尽量无感知。
无害化，是扫描器不同于SAST/IAST的一个难点（当然IAST有部署上的性能问题，偶尔的OOM、过高的资源占用也是大问题），是生存下去的必须考虑的一个点。扫描要有产出、要有效率，而业务侧更注重安全、有无业务影响，尤为重要，毕竟谁也不想业务一出问题先来问问是不是安全部门的扫描器。
业务影响的大体场景分类，个人还是分成针对web接口扫描和主机端口扫描造成的业务影响。

0X02 web接口扫描无害化 2.1 QPS 2.1.1 为什么要控制qps

QPS（Queries-per-second），指扫描器每秒针对业务发出的请求量。