SCodeScanner

SCodeScanner اختصار لـ Source Code Scanner، حيث يمكن للمستخدم مسح الكود المصدري للعثور على الثغرات الحرجة. الهدف الرئيسي لهذا الماسح هو العثور على الثغرات داخل الكود المصدري قبل نشر الكود في بيئة الإنتاج.

الموقع الإلكتروني للإصدارات الجديدة والإعلانات الجديدة - https://scodescanner.info/

الميزات

1. دعم لغة PHP
   
2. دعم لغة YAML
   
3. تمرير النتائج إلى خدمات تتبع الأخطاء مثل Jira وأيضًا Slack (إرسال الملفات إلى مجموعة أو عدة أشخاص في وقت واحد).
   
4. تقديم النتائج بصيغة JSON، والتي يمكن استخدامها بسهولة في أي برنامج آخر.
5. يعمل مع القواعد. نحتاج فقط إلى إنشاء بعض القواعد إذا كانت القاعدة المستهدفة غير موجودة في دليل php/yaml.
6. قواعد يمكنها فحص الأنماط المتقدمة

كيفية التشغيل؟

• قم بتنزيل المستودع -
  
• قم بتشغيل pip3 install -r requirements.txt
  
• ثم قم بتشغيل python3 scscanner.py --help
  
• قم بتشغيل مع لغة مدعومة مثل python3 scscanner.py php --help

لماذا يجب علي استخدام SCodeScanner؟

SCodeScanner هي أداة مفتوحة المصدر بالكامل، تعمل بسطر الأوامر ومكتوبة بلغة Python، لتحديد الثغرات في الكود. صُممت لتكون سهلة الاستخدام وتوفر عددًا من الميزات التي تميزها عن الأدوات الأخرى، بما في ذلك:

• عدد أقل من النتائج الإيجابية الكاذبة: يتضمن SCodeScanner أعلامًا تساعد في التخلص من النتائج الإيجابية الكاذبة والإبلاغ فقط عن الثغرات المؤكدة وجودها.

• قواعد semgrep مخصصة: يعمل SCodeScanner مع semgrep ولكنه ينشئ قواعده الخاصة، مما يساعد في تجنب النتائج الإيجابية الكاذبة والمسح المستغرق للوقت.

• أداة قائمة على سطر الأوامر بلغة Python: SCodeScanner هي أداة Python تعمل بسطر الأوامر وسهلة الاستخدام للأشخاص من جميع الخلفيات التقنية. في حين أن العديد من الأدوات مفتوحة المصدر لتحديد الثغرات تعتمد على واجهة المستخدم الرسومية، فإن واجهة سطر الأوامر الخاصة بـ SCodeScanner تجعل تشغيلها بسيطًا من الطرفية.

• مسح سريع: صُممت قواعد SCodeScanner للتحقق من ثغرات متعددة في وقت واحد، مما يؤدي إلى معالجة ملفات أقل للقواعد وعملية مسح أسرع بشكل عام.

• الرؤية: يدعم SCodeScanner التكامل مع JIRA وSLACK، مما يتيح رؤية النتائج التي تم تحديدها عن طريق إرسال الملفات إلى مجموعات Slack أو إنشاء تذكرة في Jira.

• القدرة على تتبع متغيرات إدخال المستخدم: يمكن لـ SCodeScanner تحديد الحالات التي يتم فيها تعريف متغيرات إدخال المستخدم في ملف واحد ولكن استخدامها بشكل غير آمن في ملف آخر.

• مخرجات JSON سهلة القراءة: يوفر SCodeScanner النتائج بصيغة JSON سهلة القراءة ويمكن استخدامها لمزيد من التحليل.

الإنجازات

حصل SCodeScanner على 5 CVEs لاكتشاف ثغرات في إضافات متعددة لنظام إدارة المحتوى (CMS).

• CVE-2022-1465
• CVE-2022-1474
• CVE-2022-1527
• CVE-2022-1532
• CVE-2022-1604

الأعلام/المفاتيح

• --folder: يأخذ هذا العلم المجلد الذي يوجد فيه الكود الفعلي. هذا علم إلزامي.

• --file: إذا أردنا مسح ملف، فهذا العلم مطلوب.

• --check: سيقوم هذا العلم بتشغيل إزالة النتائج الإيجابية الكاذبة بعد تحديد الثغرات. يتحقق هذا بشكل أساسي مما إذا كان إدخال المستخدم حقيقيًا أم لا. يقوم العلم أيضًا بإنشاء ملف JSON معدل جديد بعد إزالة جميع النتائج الإيجابية الكاذبة. لكن النقطة المهمة هي أن الأداة ستحتفظ بكل من النسختين الأصلية والمعدلة من الملفات.

• --json: مسؤول عن إنشاء ملفات json كمخرجات

• -o: سيقوم هذا العلم بإنشاء ملف نصي مع نتائج المخرجات. الغرض من هذا العلم هو إنشاء ملف قابل للقراءة البشرية وسهل القراءة. العلم اختياري.

• --jira: مسؤول عن إرسال ملفات المخرجات إلى مثيل JIRA. (يلزم إضافة تكوينات داخل ملف config.json.). العلم اختياري.

• --slack: مسؤول عن إرسال ملفات المخرجات إلى مثيلات SLACK. (يلزم إضافة تكوينات داخل ملف config.json). العلم اختياري.

المراجع/الدروس التعليمية

• https://smart7.in/2022/07/30/Secure-SDLC-Implementation.html
• https://www.kitploit.com/2022/09/scodescanner-stands-for-source-code.html
• https://securityonline.info/scodescanner-scan-the-source-code-for-finding-the-critical-vulnerabilities/
• https://www.sifatnotes.com/2022/09/scodescanner-scodescanner-stands-for.html
• https://www.cyberhacks200.org/post/source-code-scanner-for-finding-critical-vulnerabilities
• https://smart7.in/2022/06/15/How-I-found-5-CVEs.html
• https://haxf4rall.com/2022/08/11/scodescanner-scan-the-source-code-for-finding-the-critical-vulnerabilities/

شكر خاص

• https://github.com/returntocorp/semgrep

قائمة المهام

بعض الميزات الرائعة قادمة.

الملاحظات/التحسينات

أود سماع ملاحظاتك حول هذه الأداة. افتح مشكلات إذا وجدت أيًا منها. وافتح طلب سحب (PR) إذا كان لديك شيء.

اتصل

Utkarsh Agrawal
الموقع الإلكتروني