静态代码安全扫描工具Cobra

简介

眼镜蛇(Cobra)是一款定位于静态代码安全分析的工具,目标是为了找出源代码中存在的安全隐患或者漏洞。

GITHUB：https://github.com/WhaleShark-Team/cobra

文档：http://cobra.feei.cn/

原理

利用函数定位及正则表达式扫描代码文件，提示可能存在的漏洞，使用python开发，拥有支持开发语言多，升级简单、自定义规则 简单的特点。

如果仅仅依赖内置规则，应该说误报率还是挺高的，因此如果想让工具好用，不能完全依赖于既有的规则，必须研究开发编写自定义规则，才能让误报率降低，更好用。工具只能做出相应提示，至于是不是漏洞则是开发者自己判断才行。必须对工具有正确的期望。

https://github.com/FeeiCN