nccgroup/cqSchneller Code-Sicherheitsscanner für die manuelle Sicherheitsüberprüfung von Code durch Experten. Er gibt zeilenreferenzierte Befunde in Textdateien aus, um einfaches Filtern und Triagieren zu ermöglichen.
Code Query, ein universelles Tool zur Scannung von Code auf Sicherheitslücken.
CQ durchsucht Code nach Sicherheitslücken und anderen für sicherheitsorientierte Code-Reviewer interessanten Punkten. Es gibt Textdateien aus, die Verweise auf gefundene Probleme enthalten, und zwar in ein Ausgabeverzeichnis. Diese Ausgabedateien können anschließend überprüft, mit Unix-Kommandozeilenwerkzeugen wie grep gefiltert oder als Mittel zum „Springen" in den Codebestand an der angegebenen Datei:Zeile-Referenz verwendet werden.
Eine beliebte Verwendungsweise besteht darin, die Ausgabedateien als „Todo"-Liste zu betrachten, Verweise zu löschen, sobald sie geprüft und entweder als falsch positiv eingestuft wurden, oder die Verweise in eine Berichtsdatei zu kopieren, um sie entweder im Detail zu prüfen oder als Grundlage für einen Fehlerbericht zu verwenden.
Das Werkzeug ist äußerst basisch, weitgehend manuell und setzt tiefgehende Kenntnisse über Sicherheitslücken in Anwendungen und Code-Review voraus. Es hat jedoch die Vorteile, relativ schnell und zuverlässig zu sein und auch dann zu funktionieren, wenn nur teilweiser Code verfügbar ist.
CQ steht für Code Query, oder Sécurité, oder CQD, oder „Seek You".
CQ soll von menschlichen Experten im Kontext eines Sicherheits-Code-Reviews eingesetzt werden. Es ist nicht für den Einsatz in automatisierten Szenarien gedacht, obwohl es in diesem Kontext angewendet werden könnte.
CQ gibt einfache Textdateien aus, typischerweise mit einem Befund pro Zeile, wobei die Konvention vollständiger Pfad:Zeilennummer verwendet wird, um Stellen im Codebestand darzustellen. Dieses Format ermöglicht eine einfache Bearbeitung mit den Standard-Unix-Kommandozeilenwerkzeugen wie grep, wc, sed und ähnlichen sowie den zeilenbasierten Funktionen vieler Editoren wie vi, Sublime Text, Atom und Visual Studio Code.
Der Fokus darauf, alle interessanten Punkte zu melden, führt zu einem Werkzeug, das in fast jedem Codebestand viele interessante Punkte findet, das aber auch eine große Anzahl „falsch positiver" Ergebnisse meldet. Diese falsch positiven Ergebnisse können entweder durch Sichtprüfung oder auf automatisiertem Wege aus den Ergebnissen entfernt werden, dank der zeilenbasierten Berichtsmethode.
Es wird kaum oder gar keine Erläuterung der Probleme geliefert; es wird davon ausgegangen, dass Ihnen Kontext, Auswirkungen und Merkmale der gemeldeten Probleme bewusst sind.
