nccgroup/vcgVisualCodeGrepper - أداة فحص أمان الكود.
VCG (VisualCodeGrepper)
الإصدار الحالي: 2.3.2
====================================================================================
المحتويات:
VCG هي أداة آلية لمراجعة أمان الشيفرة تتعامل مع C/C++ وJava وC# وVB وPL/SQL وPHP وCOBOL. وتتضمن بعض الميزات التي يُؤمل أن تجعلها مفيدة لأي شخص يجري مراجعات أمان للشيفرة، لا سيما عندما يكون الوقت محدودًا:
حاولت إنتاج شيء لا يُرجع العدد الكبير من النتائج الإيجابية الكاذبة الذي تُرجعه بعض الأدوات، ويبحث أيضًا بذكاء لتحديد تجاوزات المخزن المؤقت والمقارنات بين القيم الموقّعة وغير الموقّعة.
ميزات جديدة: 1) تغيير في واجهة المستخدم الرسومية يعني أن اختيار اللغة الهدف يتم عبر قائمة منسدلة بدلًا من قائمة (كما في V2.3.1). 2) تشمل وظائف النسخة التجريبية الآن فحص R Script (كما في V2.3.1). 3) إصلاحات طفيفة للأخطاء لمعالجة مشكلات متنوعة واستعادة السماح بتشغيل عدة نسخ من التطبيق.
ملفات الإدخال/قاعدة الشيفرة:
قبل فحص الشيفرة، تأكد من اختيار اللغة الصحيحة، لأن VCG ستختبر فقط المشكلات المتعلقة باللغة المحددة وتفحص فقط أنواع الملفات ذات الصلة. يمكن اختيار اللغة من قائمة الإعدادات أو من مربع حوار الخيارات. حدد الدليل الذي يحتوي على الشيفرة المراد فحصها باستخدام File=>New Target... ستقوم VCG بعد ذلك بتحميل جميع الملفات ذات الامتدادات المحددة.
القيم الافتراضية أدناه، لكن يمكن تعديلها باستخدام مربع حوار الخيارات: C/C++: .c .h .cpp .hpp Java: .java .jsp web.xml config.xml (تُضمَّن ملفات xml للتحقق من التحقق من صحة الإدخال بواسطة Struts، إلخ) PL/SQL: .pls .sql .pkb .pks C#: .cs .asp .aspx web.config (يُضمَّن ملف web.config للتحقق من التحقق من صحة الإدخال وإعدادات التصحيح، إلخ) VB: .vb .asp .aspx web.config (يُضمَّن ملف web.config للتحقق من التحقق من صحة الإدخال وإعدادات التصحيح، إلخ) PHP: .php php.ini (يُضمَّن ملف php.ini للتحقق من التهيئات السيئة مثل register_globals) COBOL: .cob .cbl .clt .cl2 .cics R: .r
الخيارات والإعدادات:
أنواع الملفات - استخدم هذا لتغيير أنواع الملفات التي سيفحصها VCG لكل نوع من أنواع الشيفرة. لفحص جميع الملفات في دليل ما، أضف .* إلى القائمة أو احذف جميع الأنواع وأرسل سلسلة نصية فارغة. ملفات التهيئة - حدّد ملف تهيئة لكل لغة. يحتوي هذا على قائمة بأي دوال أو أجزاء من الشيفرة قد تُعتبر خطرًا وتتطلب الإبلاغ عنها. تضيف هذه الميزة أساسًا طبقة إضافية من الفحوصات فوق العمليات الأكثر تعقيدًا التي تُنفَّذ كجزء من فحص الشيفرة. الخطورة - يمكن ضبط VCG للإبلاغ عن الأخطاء التي تتجاوز مستوى خطورة معين فقط. على سبيل المثال، اختر 'Medium' للحصول على Medium وHigh وCritical فقط في التقرير. إعدادات COBOL - يجب تحديد العمود الأول - أي العمود الأول بعد أرقام الأسطر. سيكون هذا عمومًا 1 لقائمة بدون أرقام أسطر أو 7 لقائمة تتضمن أرقام أسطر. قد يلزم إعداد مختلف إذا كانت أسطر الشيفرة/التعليقات في القائمة تبدأ في عمود مختلف. يمكن استخدام إعداد z/OS لتضمين فحوصات الاستخدام الآمن لواجهة CICS API، إلخ. إعدادات OWASP (Java فقط) - إذا تم تحديدها، فستحدد انتهاكين لأفضل ممارسات OWASP لبرمجة Java المدرجة في صفحات الترميز الآمن الخاصة بـ OWASP. سيتم الإبلاغ عن الفئات المتداخلة والفئات العامة غير النهائية - نظرًا لاحتمال وجود أعداد كبيرة من هذه الانتهاكات دون قدر كبير من المخاطر، يُتاح الخيار لإيقاف تشغيل أي من هذين الفحصين. ملف الإخراج - ستُكتب مخرجات ASCII إلى هذا الملف إذا تم تحديده. وظائف بيتا - اختر ما إذا كنت تريد استخدام أي من وظائف بيتا بالنقر على مربع الاختيار المناسب في Options -> Beta Functionality. وظائف بيتا المتاحة حاليًا هي تحديد موقع المقارنة الموقّعة/غير الموقّعة في C (غير موثوقة للغاية)، وفحص R (تم اختباره ويعمل بشكل معقول - قريب من الإدراج في الإصدار التالي).
الفحص:
يمكن إجراء الفحص بثلاث طرق:
ملفات التهيئة:
توجد ملفات تهيئة لكل لغة من اللغات الست التي يفحصها VCG. توفر هذه طبقة إضافية من الفحص لتكملة الفحوصات المعقدة المدمجة لكل لغة. يتكون محتوى ملفات التهيئة من قائمة بالدوال/أجزاء الشيفرة المراد فحصها، إلى جانب وصف مرتبط يظهر في النتائج. يتضمن الوصف إعداد خطورة اختياري بين قوسين مربعين ويُفصل عن الدالة بواسطة '=>' بالصيغة التالية: function name[=>][[N]][description] (حيث N هو تصنيف خطورة من 1 (حرج) إلى 3 (متوسط) (أو اختياريًا، 0 لـ 'عادي'))
على سبيل المثال: strcat=>[3]String concatenation function which facilitates buffer overflow conditions. Appears in Microsoft's banned function list.
الإخراج:
سيُعرض Visual Code Breakdown عند انتهاء الفحص.
تُكتب النتائج في لوحة النتائج بالترتيب الذي تم العثور عليها به. تكون النتائج بالصيغة التالية: SEVERITY: Code issue Line number - File name Description [code fragment]
يحمل عنوان المشكلة رموز الألوان التالية للتوضيح: حرج - أرجواني عالي - أحمر متوسط - برتقالي قياسي/عادي - أصفر/بني داكن منخفض - رمادي-أزرق مشكلة محتملة/أفضل ممارسة - أخضر تعليق مريب يشير إلى شيفرة معطوبة - أزرق داكن
تُكتب النتائج أيضًا في جدول الملخص بصيغة مختصرة، حيث يمكن ترتيبها بالنقر على عناوين الأعمدة. يؤدي النقر المزدوج على عنصر في جدول النتائج إلى تحميل الملف في التطبيق المرتبط به.
يمكن حفظ هذه النتائج كنص ASCII بالنقر على File=>Save Results... يمكن حفظ النتائج بصيغة XML بالنقر على File=>Export Results as XML... يمكن حفظ مجموعة نتائج مُصفّاة حسب الخطورة بصيغة XML بالنقر بزر الفأرة الأيمن في نافذة Results ثم النقر على Export Filtered XML Results... يمكن حفظ النتائج في ملف CSV بالنقر على File=>Export Results as CSV...
معاملات سطر الأوامر:
Usage: VisualCodeGrepper [Options]
STARTUP OPTIONS: (Set desired starting point for GUI. If using console mode these options will set target(s) to be scanned.) -t, --target <Filename|DirectoryName>: Set target file or directory. Use this option either to load target immediately into GUI or to provide the target for console mode. -l, --language <CPP|PLSQL|JAVA|CS|VB|PHP|COBOL|R>: Set target language (Default is C/C++). -e, --extensions <ext1|ext2|ext3>: Set file extensions to be analysed (See ReadMe or Options screen for language-specific defaults). -i, --import : Import XML/CSV results to GUI.
