RIPS

Ein statischer Quellcode-Analysator für Schwachstellen in PHP-Skripten

Anforderungen

• Webserver: Apache oder Nginx empfohlen
• PHP: aktuelle Version empfohlen
• Browser: Firefox empfohlen

Installation

1. Laden Sie das neueste Release herunter
2. Entpacken Sie die Dateien in das Document-Root-Verzeichnis Ihres lokalen Webservers
3. Stellen Sie sicher, dass Ihr Webserver über die erforderlichen Dateiberechtigungen verfügt
4. Stellen Sie sicher, dass Ihre Installation vor unbefugtem Zugriff geschützt ist
5. Öffnen Sie Ihren Browser unter http://localhost/rips-xx/

Verwendung

Befolgen Sie die Anweisungen auf der Hauptseite.

Kommandozeilen-Schnittstelle - CLI

Verwendung

Weitere Optionen finden Sie im ursprünglichen php-rips-Scan-HTML-Formular (index.php).

  php index.php [option=value]

Beispiel: ./code rekursiv auf alle Schwachstellenklassen scannen

  php index.php loc=./code subdirs=1 vector=all verbosity=2

Hinweis: Im CLI-Modus wird argv in $_POST geparst, sodass Sie beliebige POST-Variablen setzen können.

Hinweise zur Jenkins-CI-Integration

1. Installieren Sie das HTML-Publisher-Plugin
2. Konfigurieren Sie (mehrere) SCMs so, dass sowohl dieses Repository als auch der zu scannende Quellcode in separate Ordner geklont werden
3. Fügen Sie einen Build-Schritt hinzu: Shell ausführen

# config - remove this if you configure it via jenkins parameterized builds
PATH_RIPS=rips-scanner
PATH_REPORT=report
FILE_REPORT=report.html
PATH_TARGET=code
RIPS_RECURSE_SUBDIR=1
RIPS_VECTOR=all
RIPS_VERBOSITY=2
# copy dependencies
mkdir -p report
cp -r rips-scanner/css report
cp -r rips-scanner/js report
# run analysis
echo "========================================================="
echo "[**] running scan ... $PATH_TARGET"
echo "========================================================="
php $PATH_RIPS/index.php ignore_warning=1 loc=$PATH_TARGET subdirs=$RIPS_RECURSE_SUBDIR vector=$RIPS_VECTOR verbosity=$RIPS_VERBOSITY treestyle=1 stylesheet=ayti > $PATH_REPORT/$FILE_REPORT
echo "========================================================="
echo "[**] scan done ... check out $PATH_REPORT/$FILE_REPORT"
echo "========================================================="

4. Fügen Sie einen Build-Schritt hinzu: Python ausführen

import os, sys
import rips_stats as rips
if __name__=="__main__":
    report = os.path.join(os.environ.get("PATH_REPORT","report"),os.environ.get("FILE_REPORT","report.html"))
    sys.exit(rips.main([report]))

5. Fügen Sie einen Post-Build-Schritt hinzu: HTML veröffentlichen, wählen Sie den Ordner „report“ und den Namen „vulnerability-report“. Ein neues klickbares Aktionssymbol „vulnerability-report“ wird angezeigt, das auf das archivierte Scan-Ergebnis verweist.

Entwicklung

Der community-Zweig von RIPS ist von Version 0.55 abgezweigt (Fork) und wird von RIPS Technologies nicht offiziell unterstützt.

Von RIPS Technologies ist eine vollständig neu aufgebaute Lösung erhältlich, die grundlegende Einschränkungen der Open-Source-Version überwindet und eine hochmoderne Sicherheitsanalyse durchführt.

Erfahren Sie mehr über die nächste Generation von RIPS unter https://www.ripstech.com/product/datasheets/.