Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-27 07:01:09 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-web/code-review-tools.md
Translator workflow 6c06826974 Translated to Serbian
2024-02-10 13:11:20 +00:00

21 KiB
Raw Blame History

Pregled izvornog koda / SAST alati

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u:

Vodič i & Lista alata

Alati za više jezika

Naxus - AI-Gents

Postoji besplatni paket za pregledanje PR-ova.

Semgrep

To je Open Source alat.

Podržani jezici

Kategorija Jezici
GA C# · Go · Java · JavaScript · JSX · JSON · PHP · Python · Ruby · Scala · Terraform · TypeScript · TSX
Beta Kotlin · Rust
Eksperimentalno Bash · C · C++ · Clojure · Dart · Dockerfile · Elixir · HTML · Julia · Jsonnet · Lisp ·

Brzi početak

{% code overflow="wrap" %}

# Install https://github.com/returntocorp/semgrep#option-1-getting-started-from-the-cli
brew install semgrep

# Go to your repo code and scan
cd repo
semgrep scan --config auto

{% endcode %}

Takođe možete koristiti semgrep VSCode Extension da biste dobili rezultate unutar VSCode-a.

SonarQube

Postoji besplatna instalabilna verzija.

Brzi početak

{% code overflow="wrap" %}

# Run the paltform in docker
docker run -d --name sonarqube -e SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true -p 9000:9000 sonarqube:latest
# Install cli tool
brew install sonar-scanner

# Go to localhost:9000 and login with admin:admin or admin:sonar
# Generate a local project and then a TOKEN for it

# Using the token and from the folder with the repo, scan it
cd path/to/repo
sonar-scanner \
-Dsonar.projectKey=<project-name> \
-Dsonar.sources=. \
-Dsonar.host.url=http://localhost:9000 \
-Dsonar.token=<sonar_project_token>

{% endcode %}

CodeQL

Postoji besplatna verzija koju možete instalirati, ali prema licenci možete koristiti samo besplatnu verziju CodeQL-a u projektima otvorenog koda.

Instalacija

{% code overflow="wrap" %}

# Download your release from https://github.com/github/codeql-action/releases
## Example
wget https://github.com/github/codeql-action/releases/download/codeql-bundle-v2.14.3/codeql-bundle-osx64.tar.gz

# Move it to the destination folder
mkdir ~/codeql
mv codeql-bundle* ~/codeql

# Decompress it
cd ~/codeql
tar -xzvf codeql-bundle-*.tar.gz
rm codeql-bundle-*.tar.gz

# Add to path
echo 'export PATH="$PATH:/Users/username/codeql/codeql"' >> ~/.zshrc

# Check it's correctly installed
## Open a new terminal
codeql resolve qlpacks #Get paths to QL packs

{% endcode %}

Brzi početak - Priprema baze podataka

{% hint style="success" %} Prva stvar koju trebate uraditi je priprema baze podataka (kreiranje stabla koda) kako bi kasnije upiti bili izvršeni nad njom. {% endhint %}

  • Možete dozvoliti codeql-u da automatski identifikuje jezik repozitorijuma i kreira bazu podataka

{% code overflow="wrap" %}

codeql database create <database> --language <language>

# Example
codeql database create /path/repo/codeql_db --source-root /path/repo
## DB will be created in /path/repo/codeql_db

{% endcode %}

{% hint style="danger" %} Ovo će obično izazvati grešku koja kaže da je navedeno više od jednog jezika (ili je automatski otkriveno). Pogledajte sledeće opcije da biste to rešili! {% endhint %}

  • Možete to uraditi ručno navodeći repozitorijum i jezik (lista jezika)

{% code overflow="wrap" %}

codeql database create <database> --language <language> --source-root </path/to/repo>

# Example
codeql database create /path/repo/codeql_db --language javascript --source-root /path/repo
## DB will be created in /path/repo/codeql_db

{% endcode %}

  • Ako vaš repozitorijum koristi više od 1 jezika, možete takođe kreirati 1 bazu podataka po jeziku koji označava svaki jezik.

{% code overflow="wrap" %}

export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --source-root /path/to/repo --db-cluster --language "javascript,python"

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /path/repo/codeql_db --source-root /path/to/repo --db-cluster --language "javascript,python"
## DBs will be created in /path/repo/codeql_db/*

{% endcode %}

  • Takođe možete dozvoliti codeql da identifikuje sve jezike za vas i da napravi bazu podataka po jeziku. Morate mu dati GITHUB_TOKEN.

{% code overflow="wrap" %}

export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --db-cluster --source-root </path/to/repo>

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /tmp/codeql_db --db-cluster --source-root /path/repo
## DBs will be created in /path/repo/codeql_db/*

{% endcode %}

Brzi početak - Analiza koda

{% hint style="success" %} Sada je konačno vreme za analizu koda. {% endhint %}

Zapamtite da ako ste koristili više jezika, baza podataka po jeziku će biti kreirana na putanji koju ste naveli.

{% code overflow="wrap" %}

# Default analysis
codeql database analyze <database> --format=<format> --output=</out/file/path>
# Example
codeql database analyze /tmp/codeql_db/javascript --format=sarif-latest --output=/tmp/graphql_results.sarif

# Specify QL pack to use in the analysis
codeql database analyze <database> \
<qls pack> --sarif-category=<language> \
--sarif-add-baseline-file-info \ --format=<format> \
--output=/out/file/path>
# Example
codeql database analyze /tmp/codeql_db \
javascript-security-extended --sarif-category=javascript \
--sarif-add-baseline-file-info --format=sarif-latest \
--output=/tmp/sec-extended.sarif

{% code overflow="wrap" %}

Brzi početak - Skriptovano

{% endcode %}

export GITHUB_TOKEN=ghp_32849y23hij4...
export REPO_PATH=/path/to/repo
export OUTPUT_DIR_PATH="$REPO_PATH/codeql_results"
mkdir -p "$OUTPUT_DIR_PATH"
export FINAL_MSG="Results available in: "

echo "Creating DB"
codeql database create "$REPO_PATH/codeql_db" --db-cluster --source-root "$REPO_PATH"
for db in `ls "$REPO_PATH/codeql_db"`; do
echo "Analyzing $db"
codeql database analyze "$REPO_PATH/codeql_db/$db" --format=sarif-latest --output="${OUTPUT_DIR_PATH}/$db).sarif"
FINAL_MSG="$FINAL_MSG ${OUTPUT_DIR_PATH}/$db.sarif ,"
echo ""
done

echo $FINAL_MSG

{% endcode %}

Možete vizualizovati rezultate na https://microsoft.github.io/sarif-web-component/ ili koristeći VSCode ekstenziju SARIF viewer.

Takođe možete koristiti VSCode ekstenziju da biste dobili rezultate unutar VSCode-a. Ipak, moraćete ručno kreirati bazu podataka, ali zatim možete izabrati bilo koje fajlove i kliknuti na Right Click -> CodeQL: Run Queries in Selected Files

Snyk

Postoji besplatna instalabilna verzija.

Brzi početak

# Install
sudo npm install -g snyk

# Authenticate (you can use a free account)
snyk auth

# Test for open source vulns & license issues
snyk test [--all-projects]

# Test for code vulnerabilities
## This will upload your code and you need to enable this option in: Settings > Snyk Code
snyk test code

# Test for vulns in images
snyk container test [image]

# Test for IaC vulns
snyk iac test

Takođe možete koristiti snyk VSCode Extension da biste dobili rezultate unutar VSCode-a.

Insider

To je Open Source, ali izgleda nepodržano.

Podržani jezici

Java (Maven i Android), Kotlin (Android), Swift (iOS), .NET Full Framework, C# i Javascript (Node.js).

Brzi početak

# Check the correct release for your environment
$ wget https://github.com/insidersec/insider/releases/download/2.1.0/insider_2.1.0_linux_x86_64.tar.gz
$ tar -xf insider_2.1.0_linux_x86_64.tar.gz
$ chmod +x insider
$ ./insider --tech javascript  --target <projectfolder>

DeepSource

Besplatno za javne repozitorijume.

NodeJS

  • yarn
# Install
brew install yarn
# Run
cd /path/to/repo
yarn audit
npm audit
  • pnpm je alat za upravljanje paketima za Node.js projekte. Sličan je npm-u i yarn-u, ali ima neke dodatne funkcionalnosti.
# Install
npm install -g pnpm
# Run
cd /path/to/repo
pnpm audit

# Install & run
docker run -it -p 9090:9090 opensecurity/nodejsscan:latest
# Got to localhost:9090
# Upload a zip file with the code
  • RetireJS: Cilj Retire.js-a je da vam pomogne da otkrijete upotrebu verzija JS biblioteka sa poznatim ranjivostima.
# Install
npm install -g retire
# Run
cd /path/to/repo
retire --colors

Electron

  • electronegativity: Ovo je alat za identifikaciju netačnih konfiguracija i sigurnosnih anti-obrazaca u aplikacijama zasnovanim na Electron-u.

Python

  • Bandit: Bandit je alat dizajniran za pronalaženje uobičajenih sigurnosnih problema u Python kodu. Da bi to postigao, Bandit obrađuje svaki fajl, gradi AST iz njega i pokreće odgovarajuće dodatke protiv čvorova AST-a. Kada Bandit završi skeniranje svih fajlova, generiše izveštaj.
# Install
pip3 install bandit

# Run
bandit -r <path to folder>
  • safety: Safety proverava Python zavisnosti za poznate sigurnosne ranjivosti i predlaže odgovarajuće mere za otkrivene ranjivosti. Safety se može pokrenuti na razvojnim mašinama, u CI/CD tokovima i na produkcionim sistemima.
# Install
pip install safety
# Run
safety check
  • Pyt: Nije održavan.

.NET

# dnSpy
https://github.com/0xd4d/dnSpy

# .NET compilation
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe test.cs

RUST

Rust je moderni programski jezik koji je dizajniran za sigurnost, brzinu i paralelizam. Ima mnoge karakteristike koje ga čine pogodnim za razvoj sigurnih i efikasnih softverskih rešenja. Rust je statički tipiziran jezik koji koristi sistem pozajmljivanja kako bi sprečio greške poput trka za podacima i upotrebe neinicijalizovanih vrednosti.

Alati za pregled koda

Pregled koda je važan korak u razvoju softvera kako bi se otkrile potencijalne greške i ranjivosti. U nastavku su navedeni neki od popularnih alata za pregled koda koji se mogu koristiti za Rust projekte:

  • Clippy: Clippy je statički analizator koda za Rust koji pruža korisne savete i upozorenja za poboljšanje kvaliteta koda. Može otkriti potencijalne greške, nepoželjne obrasce i neefikasnosti u kodu.

  • Rustfmt: Rustfmt je alat za formatiranje koda koji pomaže u održavanju doslednog stila kodiranja. Automatski formatira kod prema Rust stilu, čime se olakšava čitanje i održavanje koda.

  • Cargo-audit: Cargo-audit je alat koji proverava zavisnosti projekta kako bi otkrio poznate ranjivosti. Koristi bazu podataka sa poznatim ranjivostima kako bi upozorio na potencijalne probleme u zavisnostima.

  • Rust-analyzer: Rust-analyzer je inteligentni alat za analizu koda koji pruža brze i tačne informacije o kodu. Pruža funkcionalnosti poput automatskog dovršavanja koda, navigacije po kodu i otkrivanja grešaka u realnom vremenu.

Ovi alati mogu biti od velike pomoći pri razvoju i održavanju Rust projekata, pomažući programerima da otkriju i isprave greške i ranjivosti pre nego što postanu ozbiljni problemi.

# Install
cargo install cargo-audit

# Run
cargo audit

#Update the Advisory Database
cargo audit fetch

Java

Java je popularan programski jezik koji se često koristi za razvoj web aplikacija. Kada pregledate Java kod tokom pentestiranja, možete koristiti neke alate za pregled koda kako biste identifikovali potencijalne bezbednosne propuste. Ovi alati vam mogu pomoći da pronađete ranjivosti kao što su SQL injekcije, XSS napadi ili upotreba nesigurnih biblioteka.

FindBugs

FindBugs je statički analizator koda koji se koristi za pronalaženje grešaka i ranjivosti u Java kodu. Može otkriti potencijalne probleme kao što su null point izuzeci, nepravilna upotreba API-ja ili potencijalne SQL injekcije. FindBugs koristi različite heuristike i pravila kako bi identifikovao potencijalne probleme u kodu.

Da biste koristili FindBugs, možete preuzeti njegovu biblioteku i pokrenuti analizu na Java kodu. Nakon analize, FindBugs će generisati izveštaj sa identifikovanim problemima i ranjivostima.

PMD

PMD je još jedan alat za statičku analizu Java koda. On koristi različite pravila kako bi identifikovao potencijalne greške i ranjivosti. PMD može otkriti probleme kao što su neiskorišćene promenljive, nepravilna upotreba API-ja ili potencijalne SQL injekcije.

Da biste koristili PMD, možete preuzeti njegovu biblioteku i pokrenuti analizu na Java kodu. Nakon analize, PMD će generisati izveštaj sa identifikovanim problemima i ranjivostima.

Checkstyle

Checkstyle je alat za statičku analizu Java koda koji se koristi za održavanje konzistentnog stila koda. On proverava da li Java kod prati određene stilističke smernice i pravila. Checkstyle može identifikovati probleme kao što su nepravilno formatiranje koda, nekonzistentno nazivanje promenljivih ili upotreba zastarelih metoda.

Da biste koristili Checkstyle, možete preuzeti njegovu biblioteku i konfigurisati pravila koja želite da primenite na Java kodu. Nakon analize, Checkstyle će generisati izveštaj sa identifikovanim stilističkim problemima.

SpotBugs

SpotBugs je alat za statičku analizu Java koda koji je naslednik FindBugs alata. On koristi slične heuristike i pravila kao FindBugs kako bi identifikovao potencijalne greške i ranjivosti. SpotBugs može otkriti probleme kao što su null point izuzeci, nepravilna upotreba API-ja ili potencijalne SQL injekcije.

Da biste koristili SpotBugs, možete preuzeti njegovu biblioteku i pokrenuti analizu na Java kodu. Nakon analize, SpotBugs će generisati izveštaj sa identifikovanim problemima i ranjivostima.

# JD-Gui
https://github.com/java-decompiler/jd-gui

# Java compilation step-by-step
javac -source 1.8 -target 1.8 test.java
mkdir META-INF
echo "Main-Class: test" > META-INF/MANIFEST.MF
jar cmvf META-INF/MANIFEST.MF test.jar test.class
Zadatak Komanda
Izvrši Jar java -jar [jar]
Dekompresuj Jar unzip -d [izlazni direktorijum] [jar]
Kreiraj Jar jar -cmf META-INF/MANIFEST.MF [izlazni jar] *
Base64 SHA256 sha256sum [fajl] | cut -d' ' -f1 | xxd -r -p | base64
Ukloni Potpis rm META-INF/.SF META-INF/.RSA META-INF/*.DSA
Obriši iz Jara zip -d [jar] [fajl za uklanjanje]
Dekompajliraj klasu procyon -o . [putanja do klase]
Dekompajliraj Jar procyon -jar [jar] -o [izlazni direktorijum]
Kompajliraj klasu javac [putanja do .java fajla]

Idi

https://github.com/securego/gosec

PHP

Psalm i PHPStan.

Wordpress Dodaci

https://www.pluginvulnerabilities.com/plugin-security-checker/

Solidity

JavaScript

Otkrivanje

  1. Burp:
  • Spider i otkrij sadržaj
  • Sitemap > filter
  • Sitemap > desni klik na domen > Alati za angažovanje > Pronađi skripte
  1. WaybackURLs:
  • waybackurls <domen> |grep -i "\.js" |sort -u

Statička Analiza

Unminimize/Beautify/Prettify

Deobfuscate/Unpack

Napomena: Možda nije moguće potpuno deobfuskirati.

  1. Pronađi i koristi .map fajlove:
  • Ako su .map fajlovi izloženi, mogu se lako deobfuskirati.
  • Obično, foo.js.map mapira na foo.js. Ručno ih potražite.
  • Koristite JS Miner da ih potražite.
  • Osigurajte da se sprovede aktivno skeniranje.
  • Pročitajte 'Saveti/Napomene'
  • Ako su pronađeni, koristite Maximize za deobfuskaciju.
  1. Bez .map fajlova, pokušajte sa JSnice:
  • Reference: http://jsnice.org/ & https://www.npmjs.com/package/jsnice
  • Saveti:
  • Ako koristite jsnice.org, kliknite na dugme opcija pored dugmeta "Nicify JavaScript" i odznačite "Infer types" da biste smanjili zagušenje koda komentarima.
  • Obezbedite da ne ostavljate prazne linije pre skripte, jer to može uticati na proces deobfuskacije i dati netačne rezultate.
  1. Koristite console.log();
  • Pronađite povratnu vrednost na kraju i promenite je u console.log(<packerReturnVariable>); tako da se deobfuskirani js ispiše umesto izvršavanja.
  • Zatim, nalepite izmenjeni (i dalje obfuskirani) js u https://jsconsole.com/ da biste videli deobfuskirani js koji je prijavljen u konzoli.
  • Na kraju, nalepite deobfuskirani izlaz u https://prettier.io/playground/ da biste ga lepo formatirali radi analize.
  • Napomena: Ako i dalje vidite obfuskirani (ali drugačiji) js, možda je rekurzivno obfuskiran. Ponovite postupak.

Reference

Alati

Manje Korišćene Reference

Naučite hakovanje AWS-a od nule do heroja sa htARTE (HackTricks AWS Red Team Expert)!

Drugi načini podrške HackTricks-u: