Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-02 17:41:04 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/pentesting-web/code-review-tools.md

21 KiB
Raw Blame History

源代码审查 / SAST 工具

☁️ HackTricks 云 ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

指南和工具列表

多语言工具

Naxus - AI-Gents

有一个免费的套餐用于审查 PR。

Semgrep

这是一个开源工具。

支持的语言

类别 语言
GA C# · Go · Java · JavaScript · JSX · JSON · PHP · Python · Ruby · Scala · Terraform · TypeScript · TSX
Beta Kotlin · Rust
Experimental Bash · C · C++ · Clojure · Dart · Dockerfile · Elixir · HTML · Julia · Jsonnet · Lisp ·

快速入门

{% code overflow="wrap" %}

# Install https://github.com/returntocorp/semgrep#option-1-getting-started-from-the-cli
brew install semgrep

# Go to your repo code and scan
cd repo
semgrep scan --config auto

{% endcode %}

您还可以使用semgrep VSCode扩展在VSCode中获取结果。

SonarQube

有一个可安装的免费版本。

快速入门

{% code overflow="wrap" %}

# Run the paltform in docker
docker run -d --name sonarqube -e SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true -p 9000:9000 sonarqube:latest
# Install cli tool
brew install sonar-scanner

# Go to localhost:9000 and login with admin:admin or admin:sonar
# Generate a local project and then a TOKEN for it

# Using the token and from the folder with the repo, scan it
cd path/to/repo
sonar-scanner \
-Dsonar.projectKey=<project-name> \
-Dsonar.sources=. \
-Dsonar.host.url=http://localhost:9000 \
-Dsonar.token=<sonar_project_token>

{% endcode %}

CodeQL

有一个可安装的免费版本，但根据许可证，您只能在开源项目中使用免费的CodeQL版本。

安装

{% code overflow="wrap" %}

# Download your release from https://github.com/github/codeql-action/releases
## Example
wget https://github.com/github/codeql-action/releases/download/codeql-bundle-v2.14.3/codeql-bundle-osx64.tar.gz

# Move it to the destination folder
mkdir ~/codeql
mv codeql-bundle* ~/codeql

# Decompress it
cd ~/codeql
tar -xzvf codeql-bundle-*.tar.gz
rm codeql-bundle-*.tar.gz

# Add to path
echo 'export PATH="$PATH:/Users/username/codeql/codeql"' >> ~/.zshrc

# Check it's correctly installed
## Open a new terminal
codeql resolve qlpacks #Get paths to QL packs

{% endcode %}

快速入门 - 准备数据库

{% hint style="success" %} 首先，您需要准备数据库（创建代码树），以便稍后在其上运行查询。 {% endhint %}

  • 您可以允许 codeql 自动识别存储库的语言并创建数据库

{% code overflow="wrap" %}

codeql database create <database> --language <language>

# Example
codeql database create /path/repo/codeql_db --source-root /path/repo
## DB will be created in /path/repo/codeql_db

{% endcode %}

{% hint style="danger" %} 这通常会触发一个错误，说指定了多种语言（或自动检测到）。请查看下面的选项来解决这个问题！ {% endhint %}

  • 您可以手动指定repo和语言来执行此操作（语言列表）

{% code overflow="wrap" %}

codeql database create <database> --language <language> --source-root </path/to/repo>

# Example
codeql database create /path/repo/codeql_db --language javascript --source-root /path/repo
## DB will be created in /path/repo/codeql_db

{% endcode %}

  • 如果您的存储库使用多种语言，您还可以为每种语言创建1个数据库来指示每种语言。

{% code overflow="wrap" %}

export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --source-root /path/to/repo --db-cluster --language "javascript,python"

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /path/repo/codeql_db --source-root /path/to/repo --db-cluster --language "javascript,python"
## DBs will be created in /path/repo/codeql_db/*

{% endcode %}

  • 您还可以允许 codeql 为您识别所有的语言并为每种语言创建一个数据库。您需要提供一个 GITHUB_TOKEN。
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --db-cluster --source-root </path/to/repo>

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /tmp/codeql_db --db-cluster --source-root /path/repo
## DBs will be created in /path/repo/codeql_db/*

{% endcode %}

快速入门 - 分析代码

{% hint style="success" %} 现在终于是分析代码的时候了 {% endhint %}

请记住，如果您使用了多种语言，每种语言都会在您指定的路径下创建一个数据库。

{% code overflow="wrap" %}

# Default analysis
codeql database analyze <database> --format=<format> --output=</out/file/path>
# Example
codeql database analyze /tmp/codeql_db/javascript --format=sarif-latest --output=/tmp/graphql_results.sarif

# Specify QL pack to use in the analysis
codeql database analyze <database> \
<qls pack> --sarif-category=<language> \
--sarif-add-baseline-file-info \ --format=<format> \
--output=/out/file/path>
# Example
codeql database analyze /tmp/codeql_db \
javascript-security-extended --sarif-category=javascript \
--sarif-add-baseline-file-info --format=sarif-latest \
--output=/tmp/sec-extended.sarif

快速入门 - 脚本化

{% code overflow="wrap" %}

export GITHUB_TOKEN=ghp_32849y23hij4...
export REPO_PATH=/path/to/repo
export OUTPUT_DIR_PATH="$REPO_PATH/codeql_results"
mkdir -p "$OUTPUT_DIR_PATH"
export FINAL_MSG="Results available in: "

echo "Creating DB"
codeql database create "$REPO_PATH/codeql_db" --db-cluster --source-root "$REPO_PATH"
for db in `ls "$REPO_PATH/codeql_db"`; do
echo "Analyzing $db"
codeql database analyze "$REPO_PATH/codeql_db/$db" --format=sarif-latest --output="${OUTPUT_DIR_PATH}/$db).sarif"
FINAL_MSG="$FINAL_MSG ${OUTPUT_DIR_PATH}/$db.sarif ,"
echo ""
done

echo $FINAL_MSG

{% endcode %}

您可以在https://microsoft.github.io/sarif-web-component/上可视化查找结果，或者使用VSCode扩展程序SARIF viewer。

您还可以使用VSCode扩展程序在VSCode中获取查找结果。您仍然需要手动创建数据库，但然后您可以选择任何文件并点击右键->CodeQL: Run Queries in Selected Files

Snyk

有一个可安装的免费版本。

快速入门

# Install
sudo npm install -g snyk

# Authenticate (you can use a free account)
snyk auth

# Test for open source vulns & license issues
snyk test [--all-projects]

# Test for code vulnerabilities
## This will upload your code and you need to enable this option in: Settings > Snyk Code
snyk test code

# Test for vulns in images
snyk container test [image]

# Test for IaC vulns
snyk iac test

你还可以使用snyk VSCode扩展在VSCode中获取结果。

Insider

这是一个开源项目，但看起来未维护。

支持的语言

Java（Maven和Android）、Kotlin（Android）、Swift（iOS）、.NET Full Framework、C#和Javascript（Node.js）。

快速入门

# Check the correct release for your environment
$ wget https://github.com/insidersec/insider/releases/download/2.1.0/insider_2.1.0_linux_x86_64.tar.gz
$ tar -xf insider_2.1.0_linux_x86_64.tar.gz
$ chmod +x insider
$ ./insider --tech javascript  --target <projectfolder>

DeepSource

对于公共仓库免费。

NodeJS

  • yarn
# Install
brew isntall yarn
# Run
cd /path/to/repo
yarn audit
npm audit
  • nodejsscan**：**用于Node.js应用程序的静态安全代码扫描器（SAST），由libsast和semgrep提供支持。
# Install & run
docker run -it -p 9090:9090 opensecurity/nodejsscan:latest
# Got to localhost:9090
# Upload a zip file with the code
  • RetireJS: Retire.js的目标是帮助您检测使用已知漏洞的JS库版本。
# Install
npm install -g retire
# Run
cd /path/to/repo
retire --colors

Electron

  • electronegativity**：**这是一个用于识别基于Electron的应用程序中的配置错误和安全反模式的工具。

Python

  • Bandit**：**Bandit是一个旨在查找Python代码中常见安全问题的工具。为此，Bandit处理每个文件，从中构建AST，并针对AST节点运行适当的插件。一旦Bandit完成扫描所有文件，它就会生成一份报告。
# Install
pip3 install bandit

# Run
bandit -r <path to folder>
  • safety: Safety检查Python依赖项是否存在已知的安全漏洞，并提供适当的修复建议。Safety可以在开发者机器上运行，在CI/CD流水线上运行，也可以在生产系统上运行。
# Install
pip install safety
# Run
safety check
  • Pyt: 未维护

.NET

# dnSpy
https://github.com/0xd4d/dnSpy

# .NET compilation
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe test.cs

Java

Java是一种广泛使用的编程语言，常用于开发Web应用程序和企业级应用程序。在进行代码审查时，以下工具可以帮助发现潜在的安全漏洞和代码质量问题。

1. FindBugs

FindBugs是一个静态分析工具，用于检测Java代码中的常见错误和潜在的安全漏洞。它可以识别空指针引用、资源未关闭、不安全的类型转换等问题。

使用方法：

$ findbugs -textui <path_to_jar_file>

2. PMD

PMD是一个源代码静态分析工具，用于检测Java代码中的潜在问题和编码规范违规。它可以识别未使用的变量、重复的代码、不必要的条件等问题。

使用方法：

$ pmd -d <path_to_source_code> -f text

3. Checkstyle

Checkstyle是一个用于检查Java代码风格和编码规范的工具。它可以识别缩进错误、命名规范违规、代码注释问题等。

使用方法：

$ checkstyle -c <path_to_checkstyle_config> <path_to_source_code>

4. SonarQube

SonarQube是一个用于代码质量管理的开源平台。它可以检测Java代码中的安全漏洞、代码重复、代码覆盖率等问题，并提供详细的报告和建议。

使用方法：

  1. 安装SonarQube服务器。
  2. 在项目中集成SonarQube插件。
  3. 运行SonarQube分析。

5. FindSecBugs

FindSecBugs是一个专门用于检测Java代码中安全漏洞的工具。它可以识别常见的安全问题，如SQL注入、XSS攻击、敏感信息泄露等。

使用方法：

$ findsecbugs -progress -effort:max <path_to_jar_file>

以上是一些常用的Java代码审查工具，可以帮助发现潜在的安全漏洞和代码质量问题。在进行代码审查时，建议结合多种工具使用，以提高审查的准确性和效率。

# JD-Gui
https://github.com/java-decompiler/jd-gui

# Java compilation step-by-step
javac -source 1.8 -target 1.8 test.java
mkdir META-INF
echo "Main-Class: test" > META-INF/MANIFEST.MF
jar cmvf META-INF/MANIFEST.MF test.jar test.class
任务 命令
执行 Jar java -jar [jar]
解压 Jar unzip -d [output directory] [jar]
创建 Jar jar -cmf META-INF/MANIFEST.MF [output jar] *
Base64 SHA256 sha256sum [file] | cut -d' ' -f1 | xxd -r -p | base64
移除签名 rm META-INF/.SF META-INF/.RSA META-INF/*.DSA
从 Jar 中删除 zip -d [jar] [file to remove]
反编译类 procyon -o . [path to class]
反编译 Jar procyon -jar [jar] -o [output directory]
编译类 javac [path to .java file]

运行

https://github.com/securego/gosec

PHP

Psalm和PHPStan。

Wordpress插件

https://www.pluginvulnerabilities.com/plugin-security-checker/

Solidity

JavaScript

发现

  1. Burp：
  • Spider和发现内容
  • Sitemap > 过滤器
  • Sitemap > 右键单击域名 > Engagement工具 > 查找脚本
  1. WaybackURLs：
  • waybackurls <domain> |grep -i "\.js" |sort -u

静态分析

反混淆/美化/格式化

解混淆/解包

注意：可能无法完全解混淆。

  1. 查找并使用.map文件：
  • 如果.map文件被公开，可以使用它们轻松解混淆。
  • 通常，foo.js.map映射到foo.js。手动查找它们。
  • 使用JS Miner查找它们。
  • 确保进行主动扫描。
  • 阅读“提示/笔记”
  • 如果找到，请使用Maximize进行解混淆。
  1. 如果没有.map文件，请尝试使用JSnice：
  • 参考：http://jsnice.org/和https://www.npmjs.com/package/jsnice
  • 提示：
  • 如果使用jsnice.org，请点击“Nicify JavaScript”按钮旁边的选项按钮，并取消选择“Infer types”以减少代码中的注释。
  • 确保在脚本之前不留下任何空行，因为它可能会影响解混淆过程并导致不准确的结果。
  1. 使用console.log();

分析

参考：https://medium.com/techiepedia/javascript-code-review-guide-for-bug-bounty-hunters-c95a8aa7037a

寻找：

动态分析

参考

工具

不常用的参考资料

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥