第95天：代码审计-SAST&IAST项目&PHP&Java&NET&Python&Js&Go等测评

前置知识

技术对比

 

语言对应工具表

PHP -Seay RIPS CheckMarx Fortify VCG Kunlun-M

NET -VCG Fortify CheckMarx

Java-Fortify CheckMarx

Python-Bandit CheckMarx

JS-Kunlun-M NodeJsScan CheckMarx

Go-Gosec CheckMarx

案例一: php代码静态审计工具(SAST)

PHP -Seay RIPS CheckMarx Fortify VCG Kunlun-M

seay(low)

误报率比较高

VCG(low)

选择语言php

导入文件

开始扫描

勾选

查看审计结果

summary tables可以查看具体漏洞出现的位置

RIPS

这里该项目需要放在网站目录下

配置

Kunlun-M（推荐）

对php，js审计比较适配

下载地址：https://github.com/LoRexxar/Kunlun-M

对于扫描机制与其他工具不太一样，比较推荐

首先需要安装依赖

pip install -r requirements.txt

配置文件迁移

cp Kunlun_M/settings.py.bak Kunlun_M/settings.py

初始化数据库，默认采用sqlite作为数据库

python kunlun.py init initialize

加载规则进数据库（每次修改规则文件都需要加载）

python kunlun.py config load

运行

python kunlun.py scan -t 源码路径

运行结果

案例二： python代码静态审计工具(SAST)

bandit

下载地址： https://github.com/PyCQA/bandit

下载完压缩包以后，执行安装命令

pip install bandit

执行完成以后会在python目录下的script文件夹中生成exe文件

运行

bandit -r 目录文件

扫描出来的结果，红色高危，黄色中危，蓝色低危

保存到文件的操作

-o a.txt(文件名)  -f txt(文件类型)

其他语言工具包下载地址:

nodejs: https://github.com/ajinabraham/nodejsscan

go: GitHub - securego/gosec: Go security checker

checkmark fority对各种语言都有支持，并且漏洞发现是通过跟踪语句发现的但是这里找不到安装包了