js-x-ray

JS-X-Ray es un SAST para JavaScript y TypeScript diseñado para identificar patrones maliciosos, vulnerabilidades de seguridad y anomalías en el código. Piénsalo como ESLint, pero dedicado al análisis de seguridad. Creado originalmente para NodeSecure CLI, JS-X-Ray se ha convertido en una opción independiente y seria para la protección de la cadena de suministro.

🔎 Cómo funciona

JS-X-Ray analiza código JS o TS en un Árbol de Sintaxis Abstracta (AST) sin un uso extensivo de RegEx o reglas de Semgrep. Esto permite el rastreo de variables, la resolución de importaciones dinámicas y la detección de ofuscación sofisticada que las herramientas de coincidencia de patrones pasan por alto. La contrapartida es que JS-X-Ray está dedicado exclusivamente al ecosistema JavaScript/TypeScript.

💡 Características

• Rastrea require(), import e importaciones dinámicas con rastreo completo de variables
• Detecta código ofuscado e identifica la herramienta utilizada (jsfuck, jjencode, obfuscator.io y más)
• Señala patrones maliciosos: exfiltración de datos, serialización de process.env, comandos de shell inseguros
• Detecta código vulnerable: eval(), constructor Function(), regexes propensas a ReDoS, inyección SQL
• Señala algoritmos criptográficos débiles (MD5, SHA1, etc.)
• Extrae indicadores de infraestructura: URLs, IPs, nombres de host, correos electrónicos
• Modos de sensibilidad configurables (conservador/agresivo) y sistema de sondas extensible
• Compatible tanto con JavaScript como con TypeScript

💃 Primeros pasos

Estos paquetes están disponibles en el repositorio de paquetes de Node y se pueden instalar fácilmente con npm o yarn.

$ npm i @nodesecure/js-x-ray
# or
$ yarn add @nodesecure/js-x-ray

👀 Uso

import { AstAnalyser } from "@nodesecure/js-x-ray";

const scanner = new AstAnalyser();

const { warnings, dependencies } = await scanner.analyseFile("./file.js");

console.log(dependencies);
console.dir(warnings, { depth: null });

Para la documentación completa de la API, el catálogo de advertencias y el uso avanzado, consulta el README del paquete @nodesecure/js-x-ray.

Espacios de trabajo

• @nodesecure/js-x-ray
• @nodesecure/js-x-ray-ai

🐥 Guía para colaboradores

Si eres un desarrollador que busca contribuir al proyecto, primero debes leer la guía de CONTRIBUTING.

Una vez que hayas terminado tu desarrollo, verifica que las pruebas (y el linter) sigan funcionando ejecutando el siguiente script:

$ npm run check

[!CAUTION] En caso de que introduzcas una nueva funcionalidad o corrijas un error, asegúrate de incluir también las pruebas correspondientes.

APIs internas

Para los colaboradores que trabajan en las partes internas de JS-X-Ray, los siguientes recursos documentan utilidades de bajo nivel y patrones de manipulación de AST:

• Utilidades de ESTree - Ayudantes de bajo nivel para manipular nodos AST de ESTree
• Patrones de asignación y declaración de ESTree (francés) - Guía de referencia para patrones de asignación y declaración de JavaScript en forma de AST

Benchmarks

El rendimiento de js-x-ray se mide y rastrea utilizando mitata.

Para ejecutar los benchmarks:

1. Navega a workspaces/js-x-ray.
2. Ejecuta npm run bench.

Los resultados de los benchmarks se almacenan en workspaces/js-x-ray/benchmark/report.json. No edites este archivo manualmente; se actualiza automáticamente en cada pull request.

Colaboradores ✨

Gracias a estas maravillosas personas (clave de emojis):