أداة تحليل كود ثابتة مدركة للإطار لمراجعة تلقائية للكود المصدري مع قواعد خاصة بالمنصة، وتحليل التلوث، وتقدير الجهد، وخطوط أساس للكبت.
Author:
- Debasis Mohanty ([email protected])
- Twitter / X: @coffeensecurity
- www.coffeeandsecurity.com
تم بناء Daksh SCRA (مساعد مراجعة الشيفرة المصدرية) لتعزيز كفاءة عملية مراجعة الشيفرة المصدرية، من خلال توفير نهج منظم ومنسّق لمراجعي الشيفرة.
بدلاً من وضع علامة على كل شيء بشكل عشوائي باعتباره مشكلة محتملة، يشجّع Daksh SCRA على التحليل المدروس، ويحثّ على التحقيق في المشكلات المحتملة وتأكيدها. يخفف هذا النهج من الاندفاع لتصنيف كل مخاوف محتملة كخطأ برمجي، مما يقلل من الارتباك والوقت المهدور في النتائج الإيجابية الكاذبة.
قُدّم Daksh SCRA في البداية خلال جلسة تدريبية حول مراجعة الشيفرة المصدرية في Black Hat USA 2022 (6-9 أغسطس)، حيث عُرض بشكل غير ملحوظ على جمهور محدد. وجاء ظهوره العام الرسمي الأول في Black Hat USA 2023 في لاس فيغاس.
يجمع DakshSCRA قدرات مميزة لمراجعة الشيفرة المصدرية اليدوية، بدءاً من مجالات الاهتمام بمسارات الملفات وتقدير الجهد وصولاً إلى استطلاع البرمجيات والقواعد السياقية والتحليل عبر الملفات.
| الميزة | الوسم | لماذا تهم |
|---|---|---|
| مجالات الاهتمام بمسارات الملفات | الأول عالمياً* | يفحص أسماء الملفات والمجلدات نفسها، إلى جانب الشيفرة، لوضع علامة على المسارات المشبوهة مثل ملفات النسخ الاحتياطي ونقاط النهاية الخاصة بالتنقيح ومقالب الإعدادات وملفات بيانات الاعتماد التي غالباً ما يفوّتها المراجعون. |
| تقدير الجهد العلمي | الأول عالمياً* | ينتج تقديراً كمياً لجهد المراجعة اليدوية بناءً على حجم قاعدة الشيفرة ومؤشرات المشروع. الافتراضات القابلة للتكوين تجعل تخطيط المهمة صريحاً وقابلاً للتكرار. |
| مجالات اهتمام، لا علامات أخطاء | المراجع هو المتحكم | يُبرز أنماطاً تستحق التحقيق بدلاً من وسم كل تطابق كثقب أمني. القواعد السياقية وأدلة الكبت تقلل من ضوضاء الفرز وتُبقي المراجع متحكماً. |
| استطلاع البرمجيات | استطلاع برمجيات مدمج | يكتشف اللغات وأطر العمل والبنية التحتية من محتويات الملفات وبنية المشروع قبل الفحص. يربط جرد التقنيات بالاختيار التلقائي للقواعد والتحليل الدلالي وتخطيط المراجعة. |
| قواعد RDL الشرطية | قواعد شرطية متقدمة | يتجاوز التعبيرات النمطية البسيطة عبر PRESENT وMISSING والتعبيرات المنطقية وشروط الملفات/المسارات. تسجّل RDL v1 القرارات وأسباب الكبت؛ وتضيف RDL v2 خدمات دلالية مُنمّطة وأدلة محدودة عبر الملفات. |
| التحليل الدلالي المتقدم وعبر الملفات | مبني من الأساس | يتتبع البيانات التي يتحكم بها المستخدم من المصدر إلى الهدف عبر حدود الملفات المدعومة باستخدام تحليل مُصمم لهذا الغرض. صدر التحليل المتقدم جنباً إلى جنب مع RDL الأصلي في مارس 2026؛ وتوسّع RDL v2 تقييم القواعد الدلالية عبر الملفات. |
| الفحص التلقائي المستقل عن المنصة | تلقائي متعدد المنصات | استخدم -r auto لفحص المشاريع متعددة التقنيات دون اختيار لغة واحدة مسبقاً. يختار الاستطلاع قواعد المنصات وأطر العمل المدعومة تلقائياً. قُدّم في v0.23-beta، نوفمبر 2024. |
| منطق أمني خاص بالتطبيق | حزم RDL مخصصة | ترمّز حدود الثقة في التطبيق وقرارات التفويض والثوابت التجارية في حزم RDL مخصصة اختيارية. يعمل المنطق الخاص بالمشروع جنباً إلى جنب مع قواعد الفحص العامة. |
| أدلة نصية ورسومية تفاعلية | تتبّع الأدلة | تتبّع مسارات المصدر إلى الهدف المسجّلة في عرضين مترابطين نصي ورسومي. مقتطفات المصدر ومسارات الملفات وتفاصيل التسليم تجعل الأدلة عبر الملفات أسهل في الفحص. |
| دورة حياة المراجعة والتقارير المحمولة | راجع، استأنف وصدّر | احتفظ بسجل الفحص وعمليات كبت المراجعة واستأنف الفحوصات المتوقفة. صدّر HTML وPDF وWord القابل للتحرير وJSON عبر تقارير CLI وواجهة الويب المشتركة، مع تنقّل في الأدلة دون اتصال حيثما توفر. |
تحدد التواريخ إنجازات المستودع أو الإصدار؛ وهي لا تثبت الأولوية العالمية بشكل مستقل. تعني "غير مُتحقق" أن رقم الإصدار لم يُثبت من الأدلة المراجَعة.
إنجازات الإصدار والأدلة المقارنة مدرجة أعلاه.
قُدّم DakshSCRA خلال تدريب Black Hat USA 2022 وظهر علناً لأول مرة في Black Hat USA 2023. تصف تلك التواريخ تقديم المشروع، وليس كل ميزة حالية.
التحسينات النشطة مستمرة. هناك ميزات وتحسينات جديدة متعددة مخطط لها للإصدارات القادمة.
لا تتردد في المساهمة في تحديث أو إضافة قواعد جديدة والتطوير المستقبلي.
إذا وجدت أي أخطاء، أبلغ عنها إلى [email protected].
التوثيق المفصل: https://dakshlabs.com/#docs
هناك طريقتان لتشغيل Daksh SCRA - اختر ما يناسب سير عملك: