Outil d'analyse statique de code sensible au framework pour une revue automatisée du code source avec des règles spécifiques à la plateforme, analyse de flux de données (taint), estimation d'effort, et lignes de base de suppression.
Author:
## À propos de Daksh SCRA
Daksh SCRA (Source Code Review Assist) est conçu pour améliorer l'efficacité du processus de revue de code source, en offrant une approche bien structurée et organisée aux réviseurs de code.
Plutôt que de signaler indistinctement tout comme un problème potentiel, Daksh SCRA favorise une analyse réfléchie, en incitant à l'investigation et à la confirmation des problèmes potentiels. Cette approche atténue la course à l'étiquetage de chaque préoccupation potentielle comme un bug, réduisant la confusion et le temps perdu sur les faux positifs.
### Débuts
Daksh SCRA a été initialement présenté lors d'une session de formation sur la revue de code source à Black Hat USA 2022 (6-9 août), où il a été discrètement présenté à un public spécifique. Ses débuts publics officiels ont eu lieu à Black Hat USA 2023 à Las Vegas.
## Fonctionnalités et capacités
- **Identifie les zones d'intérêt dans le code source :** Encourage une investigation ciblée et une confirmation plutôt qu'un étiquetage indistinct de tout comme un bug.
- **Identifie les zones d'intérêt dans les chemins de fichiers (première mondiale) :** Reconnaît les motifs dans les chemins de fichiers pour identifier les sections pertinentes à examiner.
- **Reconnaissance au niveau logiciel pour identifier les technologies utilisées :** Identifie les technologies du projet, permettant aux réviseurs de code d'effectuer des analyses précises avec les règles appropriées.
- **Estimation automatisée de l'effort scientifique pour la revue de code (première mondiale) :** Fournit une approche mesurable pour estimer l'effort requis pour une revue de code.
- **Analyse adaptée au framework :** Applique automatiquement les règles spécifiques au framework lorsque le framework du projet est détecté.
- **Rapports d'analyse de teinte (Taint Analysis) :** Rapports HTML de flux de teinte par plateforme avec des thèmes mode hacker et mode professionnel.
- **RDL (Rule Description Language) :** Logique de règles externes référencée avec `rdl_ref` et exécutée par le pipeline `core/rdl_engine.py` - prend en charge les portes sensibles aux fichiers, les expressions booléennes, les observations de projet et les métadonnées de logique exportées dans les rapports.
- **État d'analyse / Reprise :** Enregistrez des points de contrôle pour les analyses longues et reprenez après une interruption.
- **Base de suppression :** Générez et appliquez une base de faux positifs connus pour les supprimer des rapports futurs.
- **Interface Web :** Lanceur d'analyse basé sur navigateur avec flux de console en temps réel et navigateur d'artefacts de tâches.
> Des améliorations actives sont en cours. Plusieurs nouvelles fonctionnalités et améliorations sont prévues pour les prochaines versions.
N'hésitez pas à contribuer à la mise à jour ou à l'ajout de nouvelles règles et au développement futur.
Si vous trouvez des bugs, signalez-les à [[email protected]](mailto:[email protected]).
Documentation détaillée : [https://dakshlabs.com/#docs](https://dakshlabs.com/#docs)
---
## Pour commencer
Il existe deux façons d'exécuter Daksh SCRA - choisissez celle qui correspond à votre flux de travail :
| | Idéal pour | Accéder à |
|---|---|---|
| 🌐 **Interface Web (Docker)** | La façon la plus simple de commencer - une seule commande, un tableau de bord dans le navigateur, la progression de l'analyse en direct et un navigateur de rapports/artefacts. Recommandé pour la plupart des utilisateurs. | [Interface Web (Docker)](#web-ui-docker) |
| 💻 **CLI (Python)** | Scripting, pipelines CI ou exécution d'analyses sans Docker. | [Configuration CLI](#cli-setup) |
Les deux méthodes exécutent exactement le même moteur d'analyse - l'interface Web est une interface navigateur au-dessus de la même CLI, donc les résultats sont identiques dans les deux cas.
---
## Interface Web (Docker)
La façon la plus rapide d'exécuter Daksh SCRA est via son interface Web basée sur navigateur, lancée avec l'assistant de démarrage Docker sensible à l'hôte. Elle vous offre un lanceur d'analyse, un flux de console en direct et un historique navigable des rapports passés. L'assistant de démarrage nécessite Python 3 (bibliothèque standard uniquement) ; l'application et ses dépendances s'exécutent dans Docker.
La configuration Docker exécute l'interface Web et la CLI en tant que services indépendants construits à partir de la même image, vous pouvez donc utiliser l'un ou l'autre (ou les deux) depuis le même conteneur.
### Lancer l'interface Web
Après avoir téléchargé Daksh SCRA depuis GitHub, **extrayez d'abord l'archive ZIP**.
Ouvrez un terminal (PowerShell ou Invite de commandes sous Windows) dans le dossier
du projet extrait contenant `docker-compose.yml` et `dakshscra.py`.
**Exécutez toutes les commandes de démarrage et Docker Compose ci-dessous depuis ce dossier.**
Si votre terminal s'ouvre ailleurs, déplacez-vous d'abord dans le dossier extrait :```text
cd "path/to/extracted/DakshSCRA-folder"
Remplacez le chemin d'exemple par votre emplacement de téléchargement et le nom du dossier réels.
Si vous avez cloné le dépôt à la place, exécutez cd DakshSCRA depuis son dossier parent.
L'assistant de démarrage reconnaît Windows, WSL, Linux et macOS, puis monte la racine de l'hôte, les lecteurs Windows disponibles et les dossiers courants en lecture seule avant de démarrer les conteneurs. Exécutez-le sur l'ordinateur qui exécute Docker.
Linux, macOS ou WSL (premier plan) :```bash python3 tools/start_webui.py
Windows PowerShell ou Invite de commandes (premier plan) :```powershell
py tools/start_webui.py
Ajoutez --detach pour le mode arrière-plan, ou --dry-run pour inspecter les chemins détectés.
Les remplacements de chemin .env existants sont respectés. Les comptes, les analyses et le volume
d'exécution sont préservés lorsque les conteneurs sont recréés.
Docker Desktop peut nécessiter l'autorisation de partager les chemins d'hôte sélectionnés. S'il rejette un montage, autorisez cet emplacement dans Docker Desktop et relancez l'assistant. Un navigateur distant voit les dossiers de l'hôte Docker, et non les lecteurs de son propre ordinateur. La détection automatique nécessite un moteur Docker local ; exécutez l'assistant sur l'hôte du moteur lorsque vous utilisez un contexte Docker distant.
Pour les montages configurés manuellement, docker compose up --build -d api web reste
disponible. Sa configuration de base monte le dépôt sur /scan-targets et
${DAKSH_HOST_MOUNT:-/} sur /host/root. Utilisez l'assistant pour la découverte des lecteurs Windows
et les raccourcis de dossiers courants ; Compose seul ne peut pas détecter l'OS du client.
Ouvrez ensuite http://localhost:8080.
Pour utiliser un port différent :```bash DAKSH_PORT=9090 python3 tools/start_webui.py
Arrêtez la stack avec :```bash
docker compose down
L'interface Web nécessite un compte. Au premier démarrage, un compte administrateur initial est créé à partir de DAKSH_ADMIN_USERNAME / DAKSH_ADMIN_PASSWORD (définissez-les dans .env) ; si DAKSH_ADMIN_PASSWORD n'est pas défini, un mot de passe aléatoire est généré et affiché une seule fois dans le journal de démarrage de l'API - conservez-le, car il ne pourra pas être récupéré par la suite.
Vous devrez définir votre propre mot de passe (et, éventuellement, votre nom d'utilisateur) lors de votre première connexion. Un compte administrateur peut créer d'autres comptes via le point de terminaison d'API POST /api/v1/auth/users (aucune interface dédiée pour cela pour l'instant). Consultez .env.example pour la liste complète des paramètres liés à l'authentification (durée de vie de la session, sécurité des cookies, CORS).