codegrepper

Codegrepper

Python puro, implementación autónoma, tonta de una herramienta SAST.

Codegrepper es un script de Python muy simple diseñado para obtener una base de código que busca vulnerabilidades conocidas, o Regex personalizado por elección. Debido a sus funcionalidades muy limitadas, se puede ver como una extensión de la herramienta UNIX grep estándar, con la adición de un conjunto de firmas conocidas para detectar vulnerabilidades comunes o indicadores de tales vulnerabilidades.

La principal ventaja de la herramienta es que es solo un archivo, muy ligero y basado en Python, por lo que se puede ejecutar libremente en cualquier plataforma.

Uso

Codegrepper tiene un montón de opciones que se pueden usar para aliviar el escaneo de la base de código, a continuación:

 usage: codegrepper.py [-h] [-d DIRECTORY] [-f FILTER] [-r REGEX] [-c CATEGORY]
                      [-s SUBCATEGORY] [-i]

Codegrepper - A simple code auditor by d3adc0de

optional arguments:
  -h, --help            show this help message and exit
  -d DIRECTORY, --directory DIRECTORY
                        Directory to start enumeration
  -f FILTER, --filter FILTER
                        File extension filter
  -r REGEX, --regex REGEX
                        Custom regex
  -c CATEGORY, --category CATEGORY
                        Category [# to get category list]
  -s SUBCATEGORY, --subcategory SUBCATEGORY
                        Subcategories [# to get subcategory list]
  -i, --insensitive     Case insensitive search

Algunas cosas a notar:

• El filtrado de extensión se realiza en un enfoque de la lista blanca (-f PHP escaneará solo archivos .php)
• Regex puede ser lo que sea basado en Regex re en Python
• La categoría es una de Dotnet, Java, Perl, Php, NodeJ, Python, Ruby o Owasp (se agregará más en el futuro)
• La subcategoría puede variar según el idioma elegido

Que contribuye

En el improbable caso que desee contribuir, desembolse el repositorio en https://github.com/klezvirus/codegrepper y use eso. Cualquier ayuda es muy bienvenida.

Si quieres ponerte en contacto conmigo, Github es tu mejor opción.

Créditos

La mayoría de las firmas se toman tal como están o se refinan por otras herramientas, muchas gracias a:

• Matthias Endler-https://endler.dev/awesome-static-analysis/
• Wireghoul - http://www.justanotherhacker.com
• Ajin Araham - https://ajinabraham.com