Sucosh Scanny

"Sucosh" es un escáner automatizado de vulnerabilidades de código fuente (SAST) y un marco de evaluación para Python (Flask-Django) y NodeJs, capaz de realizar revisiones de código en procesos de desarrollo de aplicaciones web o análisis de código fuente. Puede detectar muchas vulnerabilidades (RCE, SSTI, Deserialización insegura, SSRF, SQLI, CSRF, etc.) en el código fuente dado. Por ahora, solo los módulos de detección de los lenguajes Python (Flask, Django) y NodeJs (Express JS) están terminados. En el futuro, se escribirán funciones de detección específicas para PHP (Laravel, Codeigniter), .NET, Go y otros lenguajes.

Ejemplo de uso

• Análisis de código fuente de escaneo, por ejemplo: python3 sucosh.py -p <ruta_del_código>

Capturas de pantalla

Escaneo

Python

• Flask
• Django

Node Js.

• Express JS.

Otros lenguajes y frameworks

• Próximamente habrá actualizaciones

RCE

• Encontrar funciones peligrosas
• Encontrar funciones de mitigación
• Rastrear entradas

LFI

• Encontrar funciones peligrosas
• Rastrear entradas

SSTI

• Encontrar funciones peligrosas
• Rastrear entradas

SSRF

• Encontrar funciones peligrosas
• Rastrear entradas

CSRF

• Verificar token CSRF en formularios HTML

Detección de secretos

• Verificar datos secretos (clave AWS, etc.)

SQLI

• Encontrar concatenaciones de cadenas en estructuras SQL
• Encontrar entradas en el código fuente

CVE

• Verificar dependencias vulnerables

XSS

Reflejado

• Encontrar concatenaciones de cadenas en estructuras SQL
• Encontrar entradas en todos los lenguajes de programación

Almacenado

• Encontrar funciones peligrosas en todos los lenguajes de programación
• Encontrar entradas en todos los lenguajes de programación
• Encontrar funciones de mitigación en todos los lenguajes de programación

DOM

• Encontrar funciones peligrosas DOM y en todos los lenguajes de programación
• Encontrar funciones de mitigación DOM en todos los lenguajes de programación
• Encontrar entradas DOM en todos los lenguajes de programación
• Encontrar versiones vulnerables de Jquery

Conjuntos de reglas personalizadas

• Integración de conjuntos de reglas con YAML

Características web

Para equipos de desarrolladores

• Panel de administración y paneles de desarrolladores
• Gráficos de severidad de todas las vulnerabilidades
• Listado de vulnerabilidades
• Integración con API Key de Github o Gitlab

Contribuyentes ✨

Gracias a estas maravillosas personas:

AnduriCaser ✅

MustafaBilgici ✅