presidentbeef/brakemanماسح ثغرات أمنية للتحليل الثابت لتطبيقات Ruby on Rails
Brakeman هي أداة تحليل ثابتة تتحقق من تطبيقات Ruby on Rails بحثًا عن ثغرات أمنية.
باستخدام RubyGems:
gem install brakeman
باستخدام Bundler:
group :development do
gem 'brakeman', require: false
end
باستخدام Docker:
docker pull presidentbeef/brakeman
باستخدام Docker لبناء من المصدر:
git clone https://github.com/presidentbeef/brakeman.git
cd brakeman
docker build . -t brakeman
من الدليل الجذري لتطبيق Rails:
brakeman
خارج جذر Rails:
brakeman /path/to/rails/application
من الدليل الجذري لتطبيق Rails:
docker run -v "$(pwd)":/code presidentbeef/brakeman
مع ألوان أجمل قليلاً:
docker run -v "$(pwd)":/code presidentbeef/brakeman --color
لتقرير HTML:
docker run -v "$(pwd)":/code presidentbeef/brakeman -o brakeman_results.html
خارج جذر Rails (لاحظ أن ملف الإخراج نسبي بالنسبة إلى path/to/rails/application):
docker run -v 'path/to/rails/application':/code presidentbeef/brakeman -o brakeman_results.html
يجب أن يعمل Brakeman مع أي إصدار من Rails من 2.3.x إلى 8.x.
يمكن لـ Brakeman تحليل الكود المكتوب بتركيب Ruby 2.0 والإصدارات الأحدث، ولكنه يتطلب على الأقل Ruby 3.2.0 للتشغيل.
للحصول على قائمة كاملة بالخيارات، استخدم brakeman --help أو راجع ملف OPTIONS.md.
لتحديد ملف إخراج للنتائج:
brakeman -o output_file
يتم تحديد تنسيق الإخراج من خلال امتداد الملف أو باستخدام الخيار -f. الخيارات الحالية هي: text، html، tabs، json، junit، markdown، csv، codeclimate، github، sarif، و sonar.
يمكن تحديد ملفات إخراج متعددة:
brakeman -o output.html -o output.json
للإخراج إلى ملف وإلى وحدة التحكم في نفس الوقت، مع الألوان:
brakeman --color -o /dev/stdout -o output.json
لقمع التحذيرات المعلوماتية وإخراج التقرير فقط:
brakeman -q
لاحظ أن جميع مخرجات Brakeman باستثناء التقارير تُرسل إلى stderr، مما يسهل توجيه stdout إلى ملف والحصول على التقرير فقط.
لرؤية جميع أنواع معلومات التصحيح:
brakeman -d
يمكن تخطي فحوصات محددة، إذا رغبت. يجب أن يكون الاسم بالحالة الصحيحة. على سبيل المثال، لتخطي البحث عن المسارات الافتراضية (DefaultRoutes):
brakeman -x DefaultRoutes
يجب فصل الفحوصات المتعددة بفاصلة:
brakeman -x DefaultRoutes,Redirect
للقيام بالعكس وتشغيل مجموعة معينة فقط من الاختبارات:
brakeman -t SQL,ValidationRegex
إذا كان Brakaman يعمل ببطء، جرب:
brakeman --faster
سيؤدي ذلك إلى تعطيل بعض الميزات، ولكن من المحتمل أن يكون أسرع بكثير (حاليًا هو نفسه --skip-libs --no-branching). تحذير: قد يتسبب ذلك في فقدان Brakeman لبعض الثغرات الأمنية.
بشكل افتراضي، سيعيد Brakeman رمز خروج غير صفري إذا تم العثور على أي تحذيرات أمنية أو تمت مواجهة أخطاء في المسح. لتعطيل هذا:
brakeman --no-exit-on-warn --no-exit-on-error
لتخطي ملفات أو أدلة معينة قد يواجه Brakeman صعوبة في تحليلها، استخدم:
brakeman --skip-files file1,/path1/,path2/
لمقارنة نتائج مسح مع مسح سابق، استخدم خيار إخراج JSON ثم:
brakeman --compare old_report.json
سيؤدي ذلك إلى إخراج JSON بقائمتين: واحدة للتحذيرات التي تم إصلاحها وأخرى للتحذيرات الجديدة.
سيتجاهل Brakeman التحذيرات إذا تم تكوينه للقيام بذلك. بشكل افتراضي، يبحث عن ملف تكوين في config/brakeman.ignore. لإنشاء هذا الملف وإدارته، استخدم:
brakeman -I
إذا كنت تريد رؤية التحذيرات التي تجاهلتها مؤقتًا دون التأثير على رمز الخروج، استخدم:
brakeman --show-ignored
راجع warning_types للحصول على مزيد من المعلومات حول التحذيرات التي يبلغ عنها هذا الأداة.
يوفر تنسيق إخراج HTML مقتطفًا من الكود المصدري للتطبيق الأصلي حيث تم إطلاق تحذير. نظرًا للمعالجة التي تتم أثناء البحث عن الثغرات الأمنية، قد لا يشبه الكود المصدري التحذير المبلغ عنه وقد تكون أرقام الأسطر المبلغ عنها غير دقيقة قليلاً. ومع ذلك، لا يزال السياق يوفر نظرة سريعة على الكود الذي أثار التحذير.
يعين Brakeman مستوى ثقة لكل تحذير. يوفر هذا تقديرًا تقريبيًا لمدى يقين الأداة بأن تحذيرًا معينًا يمثل مشكلة بالفعل. بطبيعة الحال، لا ينبغي اعتبار هذه التصنيفات حقيقة مطلقة.
هناك ثلاثة مستويات للثقة:
للحصول فقط على تحذيرات أعلى من مستوى ثقة معين:
brakeman -w3
يأخذ المفتاح -w رقمًا من 1 إلى 3، حيث 1 منخفض (جميع التحذيرات) و 3 عالي (فقط التحذيرات ذات الثقة الأعلى).
يمكن تخزين خيارات Brakeman وقراءتها من ملفات YAML.
لتبسيط عملية كتابة ملف تكوين، سيقوم الخيار -C بإخراج الخيارات المحددة حاليًا:
$ brakeman -C --skip-files plugins/
---
:skip_files:
- plugins/
الخيارات التي يتم تمريرها عبر سطر الأوامر لها أولوية على ملفات التكوين.
مواقع التكوين الافتراضية هي ./config/brakeman.yml و ~/.brakeman/config.yml و /etc/brakeman/config.yml
يمكن استخدام الخيار -c لتحديد ملف تكوين لاستخدامه.
هناك إضافة متاحة لـ Jenkins/Hudson.
لمزيد من الاختبارات المستمرة، جرب إضافة Guard.
هناك بعض إجراءات GitHub متاحة.
git clone git://github.com/presidentbeef/brakeman.git
cd brakeman
gem build brakeman.gemspec
gem install brakeman*.gem
الموقع: http://brakemanscanner.org/
تويتر: https://twitter.com/brakeman
الدردشة: https://gitter.im/presidentbeef/brakeman
Brakeman مجاني للاستخدام غير التجاري.
راجع COPYING للتفاصيل.