Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 21:24:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-web/code-review-tools.md

25 KiB
Raw Blame History

Revisión de código fuente / Herramientas SAST

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Guía y listas de herramientas

Herramientas multi-lenguaje

Naxus - AI-Gents

Hay un paquete gratuito para revisar PRs.

Semgrep

Es una herramienta de código abierto.

Lenguajes compatibles

Categoría Lenguajes
GA C# · Go · Java · JavaScript · JSX · JSON · PHP · Python · Ruby · Scala · Terraform · TypeScript · TSX
Beta Kotlin · Rust
Experimental Bash · C · C++ · Clojure · Dart · Dockerfile · Elixir · HTML · Julia · Jsonnet · Lisp ·

Inicio rápido

{% code overflow="wrap" %}

# Install https://github.com/returntocorp/semgrep#option-1-getting-started-from-the-cli
brew install semgrep

# Go to your repo code and scan
cd repo
semgrep scan --config auto

{% endcode %}

También puedes usar la extensión de semgrep para VSCode para obtener los resultados dentro de VSCode.

SonarQube

Hay una versión gratuita instalable.

Inicio rápido

{% code overflow="wrap" %}

# Run the paltform in docker
docker run -d --name sonarqube -e SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true -p 9000:9000 sonarqube:latest
# Install cli tool
brew install sonar-scanner

# Go to localhost:9000 and login with admin:admin or admin:sonar
# Generate a local project and then a TOKEN for it

# Using the token and from the folder with the repo, scan it
cd path/to/repo
sonar-scanner \
-Dsonar.projectKey=<project-name> \
-Dsonar.sources=. \
-Dsonar.host.url=http://localhost:9000 \
-Dsonar.token=<sonar_project_token>

{% endcode %}

CodeQL

Existe una versión gratuita instalable, pero según la licencia solo puedes usar la versión gratuita de CodeQL en proyectos de código abierto.

Instalación

{% code overflow="wrap" %}

# Download your release from https://github.com/github/codeql-action/releases
## Example
wget https://github.com/github/codeql-action/releases/download/codeql-bundle-v2.14.3/codeql-bundle-osx64.tar.gz

# Move it to the destination folder
mkdir ~/codeql
mv codeql-bundle* ~/codeql

# Decompress it
cd ~/codeql
tar -xzvf codeql-bundle-*.tar.gz
rm codeql-bundle-*.tar.gz

# Add to path
echo 'export PATH="$PATH:/Users/username/codeql/codeql"' >> ~/.zshrc

# Check it's correctly installed
## Open a new terminal
codeql resolve qlpacks #Get paths to QL packs

{% endcode %}

Inicio rápido - Preparar la base de datos

{% hint style="success" %} Lo primero que debes hacer es preparar la base de datos (crear el árbol de código) para que luego se ejecuten las consultas sobre ella. {% endhint %}

  • Puedes permitir que codeql identifique automáticamente el lenguaje del repositorio y cree la base de datos

{% code overflow="wrap" %}

codeql database create <database> --language <language>

# Example
codeql database create /path/repo/codeql_db --source-root /path/repo
## DB will be created in /path/repo/codeql_db

{% endcode %}

{% hint style="danger" %} Esto suele desencadenar un error que indica que se especificaron más de un lenguaje (o se detectaron automáticamente). ¡Verifica las siguientes opciones para solucionarlo! {% endhint %}

  • Puedes hacer esto indicando manualmente el repositorio y el lenguaje (lista de lenguajes)

{% code overflow="wrap" %}

codeql database create <database> --language <language> --source-root </path/to/repo>

# Example
codeql database create /path/repo/codeql_db --language javascript --source-root /path/repo
## DB will be created in /path/repo/codeql_db

{% endcode %}

  • Si tu repositorio está utilizando más de 1 lenguaje, también puedes crear 1 base de datos por lenguaje indicando cada lenguaje.

{% code overflow="wrap" %}

export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --source-root /path/to/repo --db-cluster --language "javascript,python"

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /path/repo/codeql_db --source-root /path/to/repo --db-cluster --language "javascript,python"
## DBs will be created in /path/repo/codeql_db/*

{% endcode %}

  • También puedes permitir que codeql identifique todos los lenguajes por ti y cree una base de datos por cada lenguaje. Necesitas proporcionarle un GITHUB_TOKEN.

{% code overflow="wrap" %}

export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --db-cluster --source-root </path/to/repo>

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /tmp/codeql_db --db-cluster --source-root /path/repo
## DBs will be created in /path/repo/codeql_db/*

{% endcode %}

Inicio rápido - Analizar el código

{% hint style="success" %} Ahora finalmente es el momento de analizar el código {% endhint %}

Recuerda que si utilizaste varios lenguajes, se habrá creado una base de datos por lenguaje en la ruta que especificaste.

{% code overflow="wrap" %}

# Default analysis
codeql database analyze <database> --format=<format> --output=</out/file/path>
# Example
codeql database analyze /tmp/codeql_db/javascript --format=sarif-latest --output=/tmp/graphql_results.sarif

# Specify QL pack to use in the analysis
codeql database analyze <database> \
<qls pack> --sarif-category=<language> \
--sarif-add-baseline-file-info \ --format=<format> \
--output=/out/file/path>
# Example
codeql database analyze /tmp/codeql_db \
javascript-security-extended --sarif-category=javascript \
--sarif-add-baseline-file-info --format=sarif-latest \
--output=/tmp/sec-extended.sarif

{% code overflow="wrap" %}

Inicio rápido - Scripted

{% endcode %}

export GITHUB_TOKEN=ghp_32849y23hij4...
export REPO_PATH=/path/to/repo
export OUTPUT_DIR_PATH="$REPO_PATH/codeql_results"
mkdir -p "$OUTPUT_DIR_PATH"
export FINAL_MSG="Results available in: "

echo "Creating DB"
codeql database create "$REPO_PATH/codeql_db" --db-cluster --source-root "$REPO_PATH"
for db in `ls "$REPO_PATH/codeql_db"`; do
echo "Analyzing $db"
codeql database analyze "$REPO_PATH/codeql_db/$db" --format=sarif-latest --output="${OUTPUT_DIR_PATH}/$db).sarif"
FINAL_MSG="$FINAL_MSG ${OUTPUT_DIR_PATH}/$db.sarif ,"
echo ""
done

echo $FINAL_MSG

{% endcode %}

Puedes visualizar los hallazgos en https://microsoft.github.io/sarif-web-component/ o utilizando la extensión de VSCode SARIF viewer.

También puedes utilizar la extensión de VSCode para obtener los hallazgos dentro de VSCode. Aún necesitarás crear una base de datos manualmente, pero luego puedes seleccionar cualquier archivo y hacer clic en Click derecho -> CodeQL: Run Queries in Selected Files

Snyk

Hay una versión gratuita instalable.

Inicio rápido

# Install
sudo npm install -g snyk

# Authenticate (you can use a free account)
snyk auth

# Test for open source vulns & license issues
snyk test [--all-projects]

# Test for code vulnerabilities
## This will upload your code and you need to enable this option in: Settings > Snyk Code
snyk test code

# Test for vulns in images
snyk container test [image]

# Test for IaC vulns
snyk iac test

También puedes usar la Extensión de Snyk para VSCode para obtener resultados dentro de VSCode.

Insider

Es Open Source, pero parece desactualizado.

Lenguajes compatibles

Java (Maven y Android), Kotlin (Android), Swift (iOS), .NET Full Framework, C# y Javascript (Node.js).

Inicio rápido

# Check the correct release for your environment
$ wget https://github.com/insidersec/insider/releases/download/2.1.0/insider_2.1.0_linux_x86_64.tar.gz
$ tar -xf insider_2.1.0_linux_x86_64.tar.gz
$ chmod +x insider
$ ./insider --tech javascript  --target <projectfolder>

DeepSource

Gratis para repositorios públicos.

NodeJS

  • yarn
# Install
brew install yarn
# Run
cd /path/to/repo
yarn audit
npm audit
  • pnpm
# Install
npm install -g pnpm
# Run
cd /path/to/repo
pnpm audit
  • nodejsscan: Escáner estático de código de seguridad (SAST) para aplicaciones Node.js impulsado por libsast y semgrep.
# Install & run
docker run -it -p 9090:9090 opensecurity/nodejsscan:latest
# Got to localhost:9090
# Upload a zip file with the code
  • RetireJS: El objetivo de Retire.js es ayudarte a detectar el uso de versiones de bibliotecas JS con vulnerabilidades conocidas.
# Install
npm install -g retire
# Run
cd /path/to/repo
retire --colors

Electron

  • electronegativity: Es una herramienta para identificar configuraciones incorrectas y patrones de seguridad en aplicaciones basadas en Electron.

Python

  • Bandit: Bandit es una herramienta diseñada para encontrar problemas de seguridad comunes en el código de Python. Para hacer esto, Bandit procesa cada archivo, construye un AST a partir de él y ejecuta complementos apropiados contra los nodos AST. Una vez que Bandit ha terminado de escanear todos los archivos, genera un informe.
# Install
pip3 install bandit

# Run
bandit -r <path to folder>
  • safety: Safety verifica las dependencias de Python en busca de vulnerabilidades de seguridad conocidas y sugiere las soluciones adecuadas para las vulnerabilidades detectadas. Safety se puede ejecutar en máquinas de desarrollo, en tuberías de CI/CD y en sistemas de producción.
# Install
pip install safety
# Run
safety check
  • Pyt: Sin mantenimiento.

.NET

# dnSpy
https://github.com/0xd4d/dnSpy

# .NET compilation
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe test.cs

RUST

Rust is a systems programming language that focuses on safety, speed, and concurrency. It is designed to be memory safe and thread safe, making it a good choice for building reliable and efficient software. Rust's syntax is similar to C++, but it includes modern features such as pattern matching, type inference, and ownership semantics.

Code Review Tools

When performing a code review in Rust, there are several tools that can help identify potential issues and improve the overall quality of the code. Here are some commonly used code review tools for Rust:

  1. Clippy: Clippy is a linter for Rust that provides helpful suggestions and warnings about common mistakes and bad practices. It can catch issues such as unused variables, unnecessary code, and potential performance problems.

  2. Rustfmt: Rustfmt is a tool for automatically formatting Rust code according to the official Rust style guidelines. It helps ensure consistent code formatting across different projects and makes the code easier to read and understand.

  3. Cargo-audit: Cargo-audit is a tool that checks Rust dependencies for known vulnerabilities. It scans the Cargo.lock file and compares the dependencies against a database of known vulnerabilities, providing a report of any vulnerable dependencies that need to be updated.

  4. Rust-analyzer: Rust-analyzer is an integrated development environment (IDE) extension that provides code analysis and completion for Rust. It offers features such as intelligent code suggestions, refactoring support, and real-time error highlighting.

  5. Rustdoc: Rustdoc is a tool for generating documentation from Rust source code. It can be used to automatically generate API documentation for libraries and projects, making it easier for developers to understand and use the code.

These code review tools can help identify and fix potential issues in Rust code, improving its quality and reliability. By using these tools, developers can ensure that their code follows best practices and is free from common mistakes and vulnerabilities.

# Install
cargo install cargo-audit

# Run
cargo audit

#Update the Advisory Database
cargo audit fetch

Java

Java es un lenguaje de programación de alto nivel y orientado a objetos ampliamente utilizado en el desarrollo de aplicaciones web. Es conocido por su portabilidad y su capacidad para ejecutarse en diferentes plataformas sin necesidad de recompilación.

Revisión de código en Java

La revisión de código es una técnica importante en el proceso de pentesting de aplicaciones web escritas en Java. Permite identificar vulnerabilidades y errores en el código fuente que podrían ser explotados por un atacante.

Existen varias herramientas de revisión de código en Java que pueden ayudar en este proceso. Algunas de las más populares son:

  • FindBugs: una herramienta de análisis estático que busca errores comunes en el código Java, como el uso incorrecto de variables o la falta de validación de entradas.

  • Checkstyle: una herramienta que verifica si el código Java cumple con las convenciones de estilo definidas, como la indentación correcta y el uso adecuado de nombres de variables.

  • PMD: una herramienta que busca problemas potenciales en el código Java, como el uso de variables no utilizadas o la falta de manejo de excepciones.

  • SonarQube: una plataforma de análisis de código que proporciona una amplia gama de reglas y métricas para evaluar la calidad del código Java.

Estas herramientas pueden ayudar a los pentesters a identificar posibles vulnerabilidades y mejorar la seguridad de las aplicaciones web escritas en Java. Es importante utilizar una combinación de estas herramientas para obtener una cobertura completa en la revisión de código.

# JD-Gui
https://github.com/java-decompiler/jd-gui

# Java compilation step-by-step
javac -source 1.8 -target 1.8 test.java
mkdir META-INF
echo "Main-Class: test" > META-INF/MANIFEST.MF
jar cmvf META-INF/MANIFEST.MF test.jar test.class
Tarea Comando
Ejecutar Jar java -jar [jar]
Descomprimir Jar unzip -d [directorio de salida] [jar]
Crear Jar jar -cmf META-INF/MANIFEST.MF [jar de salida] *
Base64 SHA256 sha256sum [archivo] | cut -d' ' -f1 | xxd -r -p | base64
Eliminar Firma rm META-INF/.SF META-INF/.RSA META-INF/*.DSA
Eliminar del Jar zip -d [jar] [archivo a eliminar]
Descompilar clase procyon -o . [ruta de la clase]
Descompilar Jar procyon -jar [jar] -o [directorio de salida]
Compilar clase javac [ruta del archivo .java]

Go

https://github.com/securego/gosec

PHP

Psalm y PHPStan.

Plugins de Wordpress

https://www.pluginvulnerabilities.com/plugin-security-checker/

Solidity

JavaScript

Descubrimiento

  1. Burp:
  • Spider y descubrir contenido
  • Sitemap > filtrar
  • Sitemap > clic derecho en el dominio > Herramientas de compromiso > Encontrar scripts
  1. WaybackURLs:
  • waybackurls <dominio> |grep -i "\.js" |sort -u

Análisis estático

Desminificar/Embellecer/Reformatear

Desofuscar/Desempaquetar

Nota: Es posible que no sea posible desofuscar completamente.

  1. Encontrar y usar archivos .map:
  • Si los archivos .map están expuestos, se pueden usar para desofuscar fácilmente.
  • Comúnmente, foo.js.map se mapea a foo.js. Búscalos manualmente.
  • Usa JS Miner para buscarlos.
  • Asegúrate de realizar un escaneo activo.
  • Lee 'Consejos/Notas'
  • Si se encuentran, usa Maximize para desofuscar.
  1. Sin archivos .map, prueba con JSnice:
  • Referencias: http://jsnice.org/ y https://www.npmjs.com/package/jsnice
  • Consejos:
  • Si usas jsnice.org, haz clic en el botón de opciones junto al botón "Nicify JavaScript" y desmarca "Infer types" para reducir el desorden en el código con comentarios.
  • Asegúrate de no dejar líneas vacías antes del script, ya que puede afectar el proceso de desofuscación y dar resultados inexactos.
  1. Usa console.log();
  • Encuentra el valor de retorno al final y cámbialo por console.log(<packerReturnVariable>); para que se imprima el JavaScript desofuscado en lugar de ejecutarse.
  • Luego, pega el JavaScript modificado (y aún ofuscado) en https://jsconsole.com/ para ver el JavaScript desofuscado registrado en la consola.
  • Finalmente, pega la salida desofuscada en https://prettier.io/playground/ para embellecerla y analizarla.
  • Nota: Si sigues viendo JavaScript empaquetado (pero diferente), puede estar empaquetado de forma recursiva. Repite el proceso.

Analizar

Referencias: https://medium.com/techiepedia/javascript-code-review-guide-for-bug-bounty-hunters-c95a8aa7037a

Busca:

  • Carga anti-depuración
  • Angular: enableProdMode
  • Secretos
  • Usa:
  • JS Miner
  • Patrones de RegHex
  • Patrones de gf
  • Busca patrones relevantes en el diccionario:
  • pass, user, admin
  • auth, login, sign, challenge, 2fa
  • key, apikey, api_key, api-key, jwt, token
  • secret, security, secure
  • ...
  • Revisión manual
  • Si se encuentra una clave de API, verifica aquí la sintaxis de uso potencial: https://github.com/streaak/keyhacks.
  • Funciones vulnerables
  • InnerHTML() - Si encuentras esto, significa que existe una posibilidad potencial de XSS si no se realiza una sanitización adecuada. Incluso si tu carga útil está sanitizada, no te preocupes. Rastrea el código para averiguar dónde se realiza la sanitización. Estúdialo e intenta evitar la sanitización.
  • Postmessage() - Si has leído mi publicación anterior (https://medium.com/techiepedia/what-are-sop-cors-and-ways-to-exploit-it-62a5e02100dc), te darás cuenta de que Postmessage() podría llevar a un posible problema de CORS. Si el segundo parámetro de la función está configurado como *, eres afortunado. Consulta mi publicación anterior para comprender más sobre el mecanismo detrás de esto.
  • String.prototype.search() - Esta función parece normal. ¿Por qué sería una función peligrosa? Bueno, es porque algunos desarrolladores la usan para buscar la aparición de una cadena dentro de otra cadena. Sin embargo, "." se trata como comodín en esta función. Entonces, si esta función se usa como verificación de sanitización, simplemente puedes evitarla ingresando ".". Consulta el informe de Filedescryptor en hackerone: https://hackerone.com/reports/129873
  • Endpoints y parámetros
  • Usa LinkFinder y JS Miner.
  • Bibliotecas y dependencias vulnerables
  • Usa Retire.js y NPM (desplázate hacia abajo hasta la sección de seguridad > enlace de todas las versiones).
  • URLs de la nube
  • Usa JS Miner.
  • Subdominios
  • Usa JS Miner.
  • Fallas de lógica
  • Obtén conciencia de la situación:
  • use strict;?
  • Busca controles del lado del cliente:
  • disable, enable, hidden, hide, show
  • catch, finally, throw, try
  • input, validate, verify, valid, correct, check, confirm, require, ..
  • Busca no primitivos:
  • function , =>
  • class

Análisis dinámico

Referencias

Herramientas

Referencias menos utilizadas

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥