VCG

VCG (VisualCodeGrepper)

Version actuelle : 2.3.2

====================================================================================

Sommaire :

1. Aperçu
2. Derniers ajouts à VCG V2.3.2
3. Utilisation de VCG Fichiers d'entrée/base de code Options et paramètres Analyse Fichiers de configuration Sortie Paramètres de ligne de commande

==================================================================================== Aperçu

VCG est un outil automatisé de revue de sécurité du code qui prend en charge C/C++, Java, C#, VB, PL/SQL, PHP et COBOL. Il possède quelques fonctionnalités qui devraient, espérons-le, le rendre utile à toute personne menant des revues de sécurité du code, en particulier lorsque le temps est compté :

1. En plus d'effectuer des vérifications plus complexes, il dispose également d'un fichier de configuration pour chaque langage qui vous permet essentiellement d'ajouter toutes les fonctions défectueuses (ou autres textes) que vous souhaitez rechercher
2. Il tente de trouver une vingtaine d'expressions dans les commentaires qui peuvent indiquer du code défectueux (ToDo, FixMe, Kludge, etc.)
3. Il fournit un joli diagramme circulaire (pour l'ensemble de la base de code et pour les fichiers individuels) montrant les proportions relatives de code, d'espaces blancs, de commentaires, de commentaires de style ToDo et de code défectueux

J'ai essayé de produire quelque chose qui ne renvoie pas le grand nombre de faux positifs renvoyés par certains outils et qui recherche également intelligemment pour identifier les débordements de tampon et les comparaisons signé/non signé.

==================================================================================== Derniers ajouts à VCG V2.3.2

Nouvelles fonctionnalités : 1) Un changement d'interface graphique fait que la sélection du langage cible se fait via une liste déroulante au lieu d'un menu (comme dans la V2.3.1). 2) La fonctionnalité bêta inclut désormais l'analyse de scripts R (comme dans la V2.3.1). 3) Corrections de bugs mineurs pour traiter divers problèmes et rétablir la possibilité d'exécuter plusieurs instances de l'application.

==================================================================================== Utilisation de VCG

Fichiers d'entrée/Base de code :

Avant d'analyser le code, assurez-vous que le bon langage est sélectionné, car VCG ne testera que les problèmes liés au langage sélectionné et n'analysera que les types de fichiers pertinents. Le langage peut être sélectionné dans le menu des paramètres ou dans la boîte de dialogue des options. Sélectionnez le répertoire contenant le code à analyser via Fichier=>Nouvelle cible... VCG chargera alors tous les fichiers ayant les extensions spécifiées.

Les valeurs par défaut sont ci-dessous, mais elles peuvent être modifiées via la boîte de dialogue Options : C/C++ : .c .h .cpp .hpp Java : .java .jsp web.xml config.xml (les fichiers xml sont inclus pour vérifier la validation des entrées par Struts, etc.) PL/SQL : .pls .sql .pkb .pks C# : .cs .asp .aspx web.config (le fichier web.config est inclus pour vérifier la validation des entrées, les paramètres de débogage, etc.) VB : .vb .asp .aspx web.config (le fichier web.config est inclus pour vérifier la validation des entrées, les paramètres de débogage, etc.) PHP : .php php.ini (le fichier php.ini est inclus pour vérifier les mauvaises configurations telles que register_globals) COBOL : .cob .cbl .clt .cl2 .cics R : .r

---

Options et paramètres :

Types de fichiers - Utilisez ceci pour modifier les types de fichiers que VCG analysera pour chaque type de code. Pour analyser tous les fichiers d'un répertoire, ajoutez .* à la liste ou supprimez tous les types et soumettez une chaîne vide. Fichiers de configuration - Spécifiez un fichier de configuration pour chaque langage. Celui-ci contient une liste de fonctions ou de fragments de code susceptibles d'être considérés comme à risque et nécessitant un signalement. Cette fonctionnalité ajoute essentiellement une couche de contrôles supplémentaire par-dessus les opérations plus complexes effectuées dans le cadre de l'analyse du code. Sévérité - VCG peut être configuré pour ne signaler que les erreurs au-dessus d'un certain niveau de sévérité. Par exemple, sélectionnez « Medium » pour n'obtenir que les niveaux Medium, High et Critical dans le rapport. Paramètres COBOL - La colonne initiale doit être spécifiée, c'est-à-dire la première colonne après les numéros de ligne. Elle sera généralement de 1 pour un listing sans numéros de ligne ou de 7 pour un listing incluant des numéros de ligne. Un paramètre différent peut être nécessaire si les lignes de code/commentaire du listing commencent dans une autre colonne. Le paramètre z/OS peut être utilisé pour inclure des contrôles d'utilisation sûre de l'API CICS, etc. Paramètres OWASP (Java uniquement) - S'ils sont sélectionnés, ils identifieront deux violations des bonnes pratiques OWASP pour la programmation Java répertoriées sur les pages de codage sécurisé OWASP. Les classes imbriquées et les classes publiques non finales seront signalées ; comme il est probable que ces violations soient nombreuses sans grand risque, l'option est donnée de désactiver l'une ou l'autre de ces analyses. Fichier de sortie - La sortie ASCII sera écrite dans ce fichier si sélectionné. Fonctionnalité bêta - Sélectionnez si vous souhaitez utiliser une fonctionnalité bêta en cochant la case appropriée dans Options -> Beta Functionality. Actuellement, la fonctionnalité bêta disponible est la localisation des comparaisons signées/non signées en C (très peu fiable), et l'analyse de R (testée et fonctionnant raisonnablement bien - proche de l'inclusion dans la prochaine version).

---

Analyse :

L'analyse peut être effectuée de trois manières :

1. Commentaires uniquement - VCG tente d'identifier tout commentaire indiquant du code cassé ou inachevé sur la base d'une liste d'environ 16 phrases qui figurent typiquement dans de tels commentaires (« ToDo », « FixMe », etc.)
2. Code uniquement - VCG analyse et signale les problèmes de sécurité potentiels du code et toute fonction dangereuse, etc. issue du fichier de configuration, qui se trouvent dans le code.
3. Fonctions dangereuses uniquement - VCG analyse et signale uniquement les fonctions dangereuses, etc. issues du fichier de configuration, qui se trouvent dans le code.
4. Code, fonctions dangereuses et commentaires - Également appelée analyse complète dans le menu Scan, il s'agit d'une analyse combinée du code et des commentaires couvrant tout ce qui précède.

---

Fichiers de configuration :

Des fichiers de configuration existent pour chacun des six langages analysés par VCG. Ils fournissent une couche d'analyse supplémentaire pour compléter les analyses complexes intégrées à chaque langage. Le contenu des fichiers de configuration consiste en une liste de fonctions/fragments de code à rechercher, accompagnée d'une description associée à afficher dans les résultats. La description inclut un paramètre de sévérité facultatif entre crochets et est séparée de la fonction par '=>' selon le format suivant : nom de la fonction[=>][[N]][description] (où N est une note de sévérité de 1 (Critical) à 3 (Medium) (ou éventuellement, 0 pour « normal »))

Par exemple : strcat=>[3]Fonction de concaténation de chaînes qui facilite les conditions de dépassement de tampon. Figure dans la liste des fonctions interdites de Microsoft.