nccgroup/vcgVisualCodeGrepper - Herramienta de escaneo de seguridad de código.
VCG (VisualCodeGrepper)
Versión actual: 2.3.2
====================================================================================
Contenido:
VCG es una herramienta automatizada de revisión de seguridad de código que admite C/C++, Java, C#, VB, PL/SQL, PHP y COBOL. Tiene algunas características que, con suerte, deberían resultar útiles para cualquiera que realice revisiones de seguridad de código, especialmente cuando el tiempo es limitado:
He intentado crear algo que no devuelva la gran cantidad de falsos positivos que devuelven algunas herramientas y que además busque de forma inteligente para identificar desbordamientos de búfer y comparaciones con signo/sin signo.
Nuevas características: 1) Un cambio en la GUI hace que la selección del lenguaje objetivo se realice mediante una lista desplegable en lugar de un menú (como en V2.3.1). 2) La funcionalidad beta ahora incluye el escaneo de scripts R (como en V2.3.1). 3) Correcciones de errores menores para tratar diversos problemas y restaurar la posibilidad de ejecutar múltiples instancias de la aplicación.
Archivos de entrada/base de código:
Antes de escanear el código, asegúrese de que se ha seleccionado el lenguaje correcto, ya que VCG solo comprobará los problemas relacionados con el lenguaje seleccionado y solo escaneará los tipos de archivo relevantes. El lenguaje se puede seleccionar en el menú de configuración o en el diálogo de opciones. Seleccione el directorio que contiene el código a escanear mediante Archivo=>Nuevo objetivo... VCG cargará entonces todos los archivos que tengan las terminaciones especificadas.
Los valores predeterminados se muestran a continuación, pero se pueden modificar mediante el diálogo de Opciones: C/C++: .c .h .cpp .hpp Java: .java .jsp web.xml config.xml (los archivos xml se incluyen para comprobar la validación de entrada por parte de Struts, etc.) PL/SQL: .pls .sql .pkb .pks C#: .cs .asp .aspx web.config (el archivo web.config se incluye para comprobar la validación de entrada, la configuración de depuración, etc.) VB: .vb .asp .aspx web.config (el archivo web.config se incluye para comprobar la validación de entrada, la configuración de depuración, etc.) PHP: .php php.ini (el archivo php.ini se incluye para comprobar configuraciones incorrectas como register_globals) COBOL: .cob .cbl .clt .cl2 .cics R: .r
Opciones y configuración:
Tipos de archivo: utilice esta opción para modificar los tipos de archivo que VCG buscará para cada tipo de código. Para buscar en todos los archivos de un directorio, añada .* a la lista o elimine todos los tipos y envíe una cadena vacía. Archivos de configuración: especifique un archivo de configuración para cada lenguaje. Este contiene una lista de las funciones o fragmentos de código que pueden considerarse un riesgo y que deben notificarse. Esta función esencialmente añade una capa adicional de comprobaciones sobre las operaciones más complejas que se llevan a cabo como parte del escaneo del código. Severidad: VCG puede configurarse para notificar únicamente errores por encima de un determinado nivel de severidad. Por ejemplo, seleccione 'Medium' para obtener solo Medium, High y Critical en el informe. Configuración de COBOL: debe especificarse la columna inicial, es decir, la primera columna después de los números de línea. Generalmente será 1 para un listado sin números de línea o 7 para un listado que incluya números de línea. Puede ser necesaria una configuración diferente si las líneas de código/comentario del listado comienzan en una columna distinta. La configuración de z/OS puede utilizarse para incluir comprobaciones del uso seguro de la API de CICS, etc. Configuración de OWASP (solo Java): si se selecciona, se identificarán dos infracciones de las buenas prácticas de OWASP para la programación en Java enumeradas en las páginas de codificación segura de OWASP. Se notificarán las clases anidadas y las clases públicas no finales; como es probable que haya un gran número de estas infracciones sin un riesgo elevado, se ofrece la opción de desactivar cualquiera de estos escaneos. Archivo de salida: la salida ASCII se escribirá en este archivo si se selecciona. Funcionalidad beta: seleccione si desea utilizar cualquier funcionalidad beta haciendo clic en la casilla correspondiente en Options -> Beta Functionality. Actualmente, la funcionalidad beta disponible es la localización de comparaciones con signo/sin signo en C (muy poco fiable) y el escaneo de R (probado y funcionando razonablemente bien; cerca de su inclusión en la próxima versión).
Escaneo:
El escaneo puede llevarse a cabo de tres formas:
Archivos de configuración:
Existen archivos de configuración para cada uno de los seis lenguajes que VCG escanea. Estos proporcionan una capa adicional de escaneo para complementar los complejos escaneos integrados de cada lenguaje. El contenido de los archivos de configuración consiste en una lista de funciones/fragmentos de código que se deben buscar, junto con una descripción asociada que aparecerá en los resultados. La descripción incluye una configuración de severidad opcional entre corchetes y se separa de la función mediante '=>' con el siguiente formato: nombre de función[=>][[N]][descripción] (donde N es una calificación de severidad de 1 (Critical) a 3 (Medium) (o, opcionalmente, 0 para 'normal'))
Por ejemplo: strcat=>[3]String concatenation function which facilitates buffer overflow conditions. Appears in Microsoft's banned function list.
Salida:
