代码安全扫描SonarQube

代码安全分析工具很多，用起来都是差不多的，今天介绍个最简单的方法用sonarqube进行扫描，适合大多数人使用，后面会逐个介绍其他工具和使用方法如fortify，checkmarx。

这次用到的环境工具如下：

sonarqube-8.9.0.43852

sonar-scanner-cli-4.6.1.2450-windows

jdk-11.0.11_windows-x64_bin.exe

postgresql-10.16-2-windows-x64.exe

node-v14.17.0-x64.msi

DVWA（php项目）

简单介绍下：

sonarqube下载，地址是https://www.sonarqube.org/downloads/，社区版就行了；需配置数据库。

jdk11下载（其他更高版本不行），建议用11，装c盘就行，安装一步到底无需配置

地址是https://www.oracle.com/java/technologies/javase-jdk11-downloads.html如果下载要登录的话这里拿oracle账户

http://bugmenot.com/view/oracle.com

sonarscanner是扫描的，下载是

https://docs.sonarqube.org/latest/analysis/scan/sonarscanner/，无需配置

nodejs要安装，不然扫不了js文件，sonar控制台也会警告，下载是

https://nodejs.org/en/，装c盘就行，安装一步到底无需配置

DVWA是演示的php漏洞项目，下载https://dvwa.co.uk/

创建数据库，创建模式，修改sonarqube配置文件

图片

然后启动sonarqube，记住放在非C盘，别问为什么

图片

登录进去随便创建个项目，项目下会给你一段下面的命令. 记住token

图片

项目解压到sonarscanner目录就行了，或者麻烦点配置个环境变量，地址栏输入cmd运行这段命令

图片

图片

扫描顺利完成，过程没有error，只有2个小告警

图片

代码扫描完成：

图片

查看安全漏洞：sql注入,XSS, RCE

图片

为了帮助大家更好的学习网络安全，我给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂这些资料！

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享