OWASP ABAP Code Scanner

Static Application Security Testing (SAST) für SAP ABAP. Eine kostenlose Open-Source-CLI zum Auffinden von Sicherheitslücken in benutzerdefiniertem ABAP-Code – offline und in CI.

Editionen

Edition	Was es ist	Wo
Open-Source-CLI (kostenlos, MIT)	Lokales Scannen exportierten ABAP-Quellcodes oder in CI	Dieses Repository (unten)
Cloud (SAP BTP)	Kommerzieller SaaS, der ABAP über BTP-Destinations liest	Cloud / BTP-Ausgabe
Web (Management-Konsole)	Kommerzielles Web-SAST, das über JCo / RFC mit SAP verbindet	Web-Ausgabe

Die kommerziellen Editionen werden von RedRays bereitgestellt; dieses OWASP-Projekt (die Open-Source-CLI) ist kostenlos und Open Source.

Warum

SAP läuft auf benutzerdefiniertem ABAP-Code – oft Millionen von Zeilen, über Jahrzehnte geschrieben, die Gehaltsabrechnung, Finanzen und Logistik antreiben. Dieser Code wird selten sicherheitstechnisch überprüft und ist eine häufige Quelle für Injection-, Path-Traversal- und hartcodierte-Geheimnis-Fehler, während die Standard-SAP-Tooling schwergewichtig und systemgebunden ist.

Diese CLI analysiert exportierten ABAP-Quellcode statisch offline – ohne SAP-Verbindung, ohne Agent, ohne Telemetrie – und erstellt einen XLSX-Bericht, den Sie nutzen können. Integrieren Sie sie in Ihre CI, um Pull-Requests zu prüfen.

Schnellstart

Erfordert Python 3.9+ und pip.

git clone https://github.com/OWASP/abap-code-scanner.git
cd abap-code-scanner
pip install -r requirements.txt

python main.py path/to/abap/source

Nach Abschluss des Scans finden Sie abap_security_scan_report.xlsx im Projektordner:

CLI-Optionen

Option	Beschreibung	Standard
`path`	Verzeichnis des zu scannenden ABAP-Quellcodes	(erforderlich)
`-c`, `--config`	Pfad zur YAML-Konfigurationsdatei

Konfiguration

Der Scanner liest eine YAML-Datei (Standard config.yml, überschreibbar mit -c). Wählen Sie die auszuführenden Prüfungen, die einzubeziehenden Dateierweiterungen und die auszuschließenden Muster aus:

checks:
  - CheckCrossSiteScripting
  - CheckSQLInjection
  - CheckDirectoryTraversal

file_extensions:
  - .abap
  - .txt

exclude_patterns:
  - "**/test/**"

Schreiben einer benutzerdefinierten Prüfung

Erstellen Sie eine neue Python-Datei im Verzeichnis checks/.
Definieren Sie eine Klasse, die von der Basis-Prüfungsklasse erbt.
Implementieren Sie die erforderlichen Methoden, einschließlich der Hauptmethode run.
Fügen Sie den Klassennamen zur Liste checks: in Ihrer Konfigurationsdatei hinzu.

Ausführen der Tests

# Unix-ähnlich
./run_tests.sh

# Windows
run_tests.bat

Roadmap

Datenfluss- / Taint-Analyse (Quellen zu Senken), um Fehlalarme zu reduzieren
SARIF-Ausgabe für GitHub-Code-Scanning
JSON-Ausgabe
Weitere Prüfungen, die auf das OWASP Top 10 und SAP-Sicherheitscodierungsrichtlinien abgestimmt sind

Mitwirken

Pull-Requests sind willkommen – neue Prüfungen, Testfälle, Fehlerbehebungen und Dokumentation helfen alle. Siehe CONTRIBUTING.md und folgen Sie bitte dem OWASP-Verhaltenskodex.

Sicherheit

Haben Sie eine Schwachstelle im Scanner selbst gefunden? Bitte folgen Sie dem Prozess der verantwortungsvollen Offenlegung in SECURITY.md – öffnen Sie kein öffentliches Issue für Sicherheitsmeldungen.

Lizenz

MIT. Ursprünglich beigetragen und gewartet von RedRays. Die Cloud (SAP BTP)- und Web (Management-Konsole)-Editionen sind kommerzielle Produkte; dieses OWASP-Projekt (die Open-Source-CLI) ist kostenlos und Open Source.

_{Ein OWASP-Incubator-Projekt.}

abap-code-scanner

Beliebteste