OWASP ABAP Code Scanner

Pruebas estáticas de seguridad de aplicaciones (SAST) para SAP ABAP. Una CLI gratuita y de código abierto para encontrar vulnerabilidades de seguridad en código ABAP personalizado, sin conexión y en CI.

Ediciones

Las ediciones comerciales son de RedRays; este proyecto de OWASP (la CLI de código abierto) es gratuito y de código abierto.

Por qué

SAP se ejecuta sobre código ABAP personalizado: a menudo millones de líneas, escritas a lo largo de décadas, que impulsan nóminas, finanzas y logística. Ese código rara vez se revisa en materia de seguridad y es una fuente frecuente de errores de inyección, path traversal y secretos hardcodeados, mientras que las herramientas estándar de SAP son pesadas y están ligadas al sistema.

Esta CLI analiza estáticamente el código fuente ABAP exportado, sin conexión (sin conexión a SAP, sin agente, sin telemetría) y genera un informe XLSX sobre el que puedes actuar. Intégrala en CI para controlar las pull requests.

Inicio rápido

Requiere Python 3.9+ y pip.

git clone https://github.com/OWASP/abap-code-scanner.git
cd abap-code-scanner
pip install -r requirements.txt

python main.py path/to/abap/source

Cuando el escaneo finalice, encontrarás abap_security_scan_report.xlsx en la carpeta del proyecto:

Opciones de la CLI

Configuración

El escáner lee un archivo YAML (por defecto config.yml, se puede reemplazar con -c). Elige los checks que se ejecutarán, las extensiones de archivo a incluir y los patrones a excluir:

checks:
  - CheckCrossSiteScripting
  - CheckSQLInjection
  - CheckDirectoryTraversal

file_extensions:
  - .abap
  - .txt

exclude_patterns:
  - "**/test/**"

Escribir un check personalizado

1. Crea un nuevo archivo Python en el directorio checks/.
2. Define una clase que herede de la clase base de checks.
3. Implementa los métodos requeridos, incluido el método principal run.
4. Añade el nombre de la clase a la lista checks: de tu archivo de configuración.

Ejecutar las pruebas

# Unix-like
./run_tests.sh

# Windows
run_tests.bat

Hoja de ruta

• Análisis de flujo de datos / taint (de fuentes a sumideros) para reducir los falsos positivos
• Salida SARIF para el escaneo de código de GitHub
• Salida JSON
• Más checks mapeados al OWASP Top 10 y a las guías de codificación segura de SAP

Contribuciones

Las pull requests son bienvenidas: nuevos checks, casos de prueba, correcciones de errores y documentación, todo ayuda. Consulta CONTRIBUTING.md y sigue el Código de Conducta de OWASP.

Seguridad

¿Has encontrado una vulnerabilidad en el propio escáner? Sigue el proceso de divulgación responsable descrito en SECURITY.md; no abras un issue público para reportes de seguridad.

Licencia

MIT. Contribuido y mantenido originalmente por RedRays. Las ediciones Cloud (SAP BTP) y Web (Consola de administración) son productos comerciales; este proyecto de OWASP (la CLI de código abierto) es gratuito y de código abierto.