Daksh SCRA (सोर्स कोड रिव्यू असिस्ट)```

Author:

Debasis Mohanty ([email protected])
Twitter / X: @coffeensecurity
www.coffeeandsecurity.com

## Daksh SCRA के बारे में

Daksh SCRA (Source Code Review Assist) सोर्स कोड समीक्षा प्रक्रिया की दक्षता बढ़ाने के लिए बनाया गया है, जो कोड समीक्षकों के लिए एक सुव्यवस्थित और संगठित दृष्टिकोण प्रदान करता है।

हर चीज़ को बिना सोचे-समझे संभावित समस्या के रूप में चिह्नित करने के बजाय, Daksh SCRA विचारशील विश्लेषण को बढ़ावा देता है, संभावित समस्याओं की जाँच और पुष्टि पर ज़ोर देता है। यह दृष्टिकोण हर संभावित चिंता को बग के रूप में टैग करने की होड़ को कम करता है, जिससे झूठे सकारात्मक परिणामों पर बर्बाद होने वाला समय और भ्रम घटता है।

### पहली उपस्थिति

Daksh SCRA को शुरुआत में Black Hat USA 2022 (6-9 अगस्त) में एक सोर्स कोड समीक्षा प्रशिक्षण सत्र के दौरान पेश किया गया था, जहाँ इसे एक विशिष्ट दर्शकों के सामने विनम्रता से प्रस्तुत किया गया। इसकी आधिकारिक सार्वजनिक शुरुआत लास वेगास में Black Hat USA 2023 में हुई।

## विशेषताएँ और कार्यक्षमताएँ

- **सोर्स कोड में रुचि के क्षेत्रों की पहचान करता है:** हर चीज़ को बिना सोचे-समझे बग के रूप में लेबल करने के बजाय केंद्रित जाँच और पुष्टि को प्रोत्साहित करता है।
- **फ़ाइल पथों में रुचि के क्षेत्रों की पहचान करता है (विश्व में पहली बार):** समीक्षा के लिए प्रासंगिक अनुभागों को इंगित करने हेतु फ़ाइल पथों में पैटर्न पहचानता है।
- **उपयोग की गई तकनीकों की पहचान के लिए सॉफ़्टवेयर-स्तरीय टोही:** प्रोजेक्ट की तकनीकों की पहचान करता है, जिससे कोड समीक्षक उपयुक्त नियमों के साथ सटीक स्कैन कर सकते हैं।
- **कोड समीक्षा के लिए स्वचालित वैज्ञानिक प्रयास अनुमान (विश्व में पहली बार):** कोड समीक्षा के लिए आवश्यक प्रयास का अनुमान लगाने का एक मापने योग्य दृष्टिकोण प्रदान करता है।
- **फ्रेमवर्क-जागरूक स्कैनिंग:** जब प्रोजेक्ट का फ्रेमवर्क पहचाना जाता है, तो स्वचालित रूप से फ्रेमवर्क-विशिष्ट नियम लागू करता है।
- **टेंट विश्लेषण रिपोर्ट:** हैकर-मोड और प्रोफेशनल-मोड थीम के साथ प्लेटफ़ॉर्म-वार HTML टेंट प्रवाह रिपोर्ट।
- **RDL (Rule Description Language):** बाहरी नियम तर्क जिसे `rdl_ref` के साथ संदर्भित किया जाता है और `core/rdl_engine.py` पाइपलाइन द्वारा निष्पादित किया जाता है - फ़ाइल-जागरूक गेट, बूलियन एक्सप्रेशन, प्रोजेक्ट अवलोकन, और रिपोर्ट में निर्यातित तर्क मेटाडेटा का समर्थन करता है।
- **स्कैन स्थिति / फिर से शुरू करना:** लंबे स्कैन को चेकपॉइंट करें और बाधा के बाद फिर से शुरू करें।
- **दमन आधार रेखा:** ज्ञात झूठे सकारात्मक परिणामों की आधार रेखा उत्पन्न करें और लागू करें ताकि उन्हें भविष्य की रिपोर्टों से दबाया जा सके।
- **वेब UI:** वास्तविक समय कंसोल फ़ीड और जॉब आर्टिफैक्ट ब्राउज़र के साथ ब्राउज़र-आधारित स्कैन लॉन्चर।

> सक्रिय संवर्द्धन जारी है। आगामी रिलीज़ के लिए कई नई सुविधाओं और सुधारों की योजना बनाई गई है।

नए नियमों को अपडेट करने या जोड़ने और भविष्य के विकास में योगदान देने के लिए स्वतंत्र महसूस करें।

यदि आपको कोई बग मिले, तो उन्हें [[email protected]](mailto:[email protected]) पर रिपोर्ट करें।

विस्तृत दस्तावेज़ीकरण: [https://dakshlabs.com/#docs](https://dakshlabs.com/#docs)

---

## आरंभ करना

Daksh SCRA चलाने के दो तरीके हैं - जो भी आपके वर्कफ़्लो के अनुकूल हो उसे चुनें:

| | सबसे उपयुक्त | यहाँ जाएँ |
|---|---|---|
| 🌐 **वेब UI (Docker)** | शुरू करने का सबसे आसान तरीका - एक कमांड, एक ब्राउज़र डैशबोर्ड, लाइव स्कैन प्रगति, और एक रिपोर्ट/आर्टिफैक्ट ब्राउज़र। अधिकांश उपयोगकर्ताओं के लिए अनुशंसित। | [वेब UI (Docker)](#web-ui-docker) |
| 💻 **CLI (Python)** | स्क्रिप्टिंग, CI पाइपलाइन, या Docker के बिना स्कैन चलाना। | [CLI सेटअप](#cli-setup) |

दोनों मार्ग बिल्कुल समान स्कैनिंग इंजन चलाते हैं - वेब UI उसी CLI के ऊपर एक ब्राउज़र फ्रंट एंड है, इसलिए परिणाम दोनों तरह से समान होते हैं।

---

## वेब UI (Docker)

Daksh SCRA चलाने का सबसे तेज़ तरीका इसके ब्राउज़र-आधारित वेब UI के माध्यम से है, जिसे एक ही Docker Compose कमांड से लॉन्च किया जाता है। यह आपको एक स्कैन लॉन्चर, एक लाइव कंसोल फ़ीड, और पिछली रिपोर्टों का ब्राउज़ करने योग्य इतिहास देता है, बिना स्थानीय Python वातावरण की आवश्यकता के।

Docker सेटअप वेब UI और CLI को उसी इमेज से निर्मित स्वतंत्र सेवाओं के रूप में चलाता है, इसलिए आप उसी कंटेनर से दोनों (या दोनों में से कोई भी) उपयोग कर सकते हैं।

### वेब UI लॉन्च करें

फोरग्राउंड मोड (लॉग आपके टर्मिनल पर स्ट्रीम होते हैं):```bash
docker compose up --build

### लॉगिन करना Web UI के लिए एक खाते की आवश्यकता होती है। पहली बार शुरू होने पर, `DAKSH_ADMIN_USERNAME` / `DAKSH_ADMIN_PASSWORD` से एक प्रारंभिक व्यवस्थापक खाता बनाया जाता है (इन्हें `.env` में सेट करें); यदि `DAKSH_ADMIN_PASSWORD` को खाली छोड़ दिया जाता है, तो एक यादृच्छिक पासवर्ड उत्पन्न होता है और API के स्टार्टअप लॉग में एक बार प्रिंट होता है - इसे सहेज लें, क्योंकि बाद में इसे पुनर्प्राप्त नहीं किया जा सकता। पहली बार लॉगिन करने पर आपको अपना स्वयं का पासवर्ड (और, वैकल्पिक रूप से, उपयोगकर्ता नाम) सेट करना होगा। एक व्यवस्थापक खाता `POST /api/v1/auth/users` API एंडपॉइंट के माध्यम से अतिरिक्त खाते बना सकता है (इसके लिए अभी तक कोई समर्पित UI नहीं है)। प्रमाणीकरण से संबंधित सेटिंग्स (सत्र अवधि, कुकी सुरक्षा, CORS) की पूरी सूची के लिए `.env.example` देखें। ### आपको क्या मिलता है - स्कैन, रिकॉन, अनुमान, रिकॉन+अनुमान, सूची, और PDF-से-JSON मोड के लिए प्रतिक्रियाशील कमांड बिल्डर - निष्पादन के दौरान रीयल-टाइम कंसोल फ़ीड और प्रति-चरण लाइव प्रगति - HTML / PDF / JSON आउटपुट के लिए प्रति-कार्य आर्टिफैक्ट स्नैपशॉट - रन फॉर्म, लाइव फ़ीड, आर्टिफैक्ट्स, और हाल के कार्यों में तेज़ इन-ब्राउज़र नेविगेशन - लक्ष्य पथ चुनने के लिए अंतर्निहित निर्देशिका ब्राउज़र (OS-जागरूक: Windows, macOS, Linux / Docker) हुड के नीचे, CLI ही स्रोत सत्य है - यह सभी स्कैनिंग करता है और हर HTML / PDF / JSON आउटपुट उत्पन्न करता है। Web UI एक समय में एक सक्रिय कार्य चलाता है और प्रत्येक पूर्ण कार्य के आउटपुट को `runtime/webui/jobs/<job-id>/artifacts/` में स्नैपशॉट करता है ताकि पिछली रिपोर्टें सुलभ रहें। ### Docker में CLI चलाना CLI का उपयोग करने के लिए आपको स्थानीय Python वातावरण की आवश्यकता नहीं है - यह अपनी स्वयं की Compose सेवा के रूप में उपलब्ध है, जो उसी इमेज से बनाई गई है:```bash docker compose run --rm cli -h docker compose run --rm cli -r auto -t /scan-targets/path/to/source

विकल्प

विवरण

-r RULES

प्लेटफ़ॉर्म नियम (जैसे php, java, php,java) या स्वतः पहचान के लिए auto

-f FILE_TYPES

स्कैनिंग के लिए डिफ़ॉल्ट फ़ाइल प्रकारों को ओवरराइड करें

-v

वर्बोसिटी स्तर (-v, -vv, -vvv)

-t TARGET_DIR

लक्ष्य स्रोत कोड निर्देशिका

-l {R,RF}

प्लेटफ़ॉर्म नियम + फ्रेमवर्क सूचीबद्ध करें [R] या फ़ाइल प्रकार शामिल करें [RF]

--recon

टोही चलाएँ (प्लेटफ़ॉर्म / फ्रेमवर्क / भाषा पहचान)

--rs, --recon-strict

सख्त टोही: केवल उच्च-विश्वास वाली पहचान (इसे --recon के साथ उपयोग करें)

--estimate

कोडबेस आकार के आधार पर कोड समीक्षा प्रयास का अनुमान लगाएँ

-rpt, --report FORMATS

रिपोर्ट प्रारूप: html, pdf, या html,pdf (डिफ़ॉल्ट: html)

--pdf-from-json

पुनः स्कैन किए बिना मौजूदा JSON आउटपुट से PDF रिपोर्ट बनाएँ

--json-input-dir PATH

JSON रिपोर्ट निर्देशिका (डिफ़ॉल्ट: ./reports/data)

--pdf-output PATH

एकल PDF आउटपुट पथ (डिफ़ॉल्ट: ./reports/scan/pdf/report.pdf)

--pdf-multi-dir PATH

बहु-फ़ाइल PDF आउटपुट निर्देशिका (डिफ़ॉल्ट: ./reports/scan/pdf/multi-file)

--pdf-single-only

केवल संयुक्त एकल-फ़ाइल PDF बनाएँ; प्रति-प्लेटफ़ॉर्म बहु-फ़ाइल सेट छोड़ें

--skip-analysis

इस रन के लिए विश्लेषक चरण अक्षम करें

#### स्कैन अनुक्रम स्रोत नियम के लिए, DakshSCRA तर्क का मूल्यांकन इस क्रम में करता है: 1. Recon मिलान वाले प्लेटफ़ॉर्म और फ्रेमवर्क का चयन करता है। 2. XML नियम `rules/scanning/platform/...` से लोड किया जाता है। 3. `regex` उम्मीदवार पंक्तियाँ या पूरे-फ़ाइल मिलान ढूँढता है, जब मौजूद हो। 4. `exclude` उस नियम के लिए स्पष्ट शोर हटाता है, यदि मौजूद हो। 5. `rdl_ref` से बाहरी `.rdl` फ़ाइल का मूल्यांकन वर्तमान फ़ाइल टेक्स्ट, वर्तमान फ़ाइल पथ और प्रोजेक्ट रूट के विरुद्ध किया जाता है। 6. यदि RDL स्क्रिप्ट पास होती है, तो DakshSCRA निष्कर्ष को बनाए रखता है और निर्यात किए गए लॉजिक मेटाडेटा को रिपोर्ट आउटपुट में मर्ज करता है। 7. यदि RDL स्क्रिप्ट विफल होती है, तो मिलान को RDL विफलता कारण और निर्णय ट्रेस मेटाडेटा के साथ दबा दिया जाता है। `filepaths.xml` में फ़ाइल-पथ नियमों के लिए, वही `rdl_ref` मॉडल लागू होता है, लेकिन मिलान का विषय स्रोत कोड टेक्स्ट के बजाय सामान्यीकृत सापेक्ष पथ होता है। उस मोड में, RDL को सापेक्ष पथ स्ट्रिंग वर्तमान-फ़ाइल टेक्स्ट और पथ संदर्भ के रूप में प्राप्त होती है। #### वर्तमान नियम संरचना```xml <rule> <name>Rule Name</name> <regex><![CDATA[regex_to_match]]></regex> <rdl_ref>logic/common/core/insecure_sql_query_unsafe_string_concatenation.rdl</rdl_ref> <exclude><![CDATA[pattern_to_exclude_lines]]></exclude>  <scan_config>...</scan_config>  <rule_desc>Short description of what the rule detects.</rule_desc> <vuln_desc>Why the pattern matters.</vuln_desc> <developer>Fix guidance for developers.</developer> <reviewer>Manual confirmation guidance for reviewers.</reviewer> </rule>

कमांड

व्यवहार

विशिष्ट उपयोग

WHEN PRESENT <regex>

वर्तमान फ़ाइल टेक्स्ट में पैटर्न के मौजूद होने की आवश्यकता

सह-घटित जोखिमपूर्ण API या संवेदनशील फ़ील्ड की आवश्यकता

WHEN MISSING <regex>

वर्तमान फ़ाइल टेक्स्ट में पैटर्न के अनुपस्थित होने की आवश्यकता

जब शमन पहले से मौजूद हो तो दबाएँ

WHEN EXPR <expr>

PRESENT: / MISSING: / EXISTS: के साथ &&, `

WHEN CURRENT_FILE_MATCHES <regex>

पूर्ण वर्तमान फ़ाइल टेक्स्ट के विरुद्ध मिलान

जटिल संपूर्ण-फ़ाइल स्थितियों की पुनः जाँच

WHEN FILE_NAME_IS <name>

वर्तमान फ़ाइलनाम का सटीक मिलान आवश्यक

plist / manifest / config नियमों को सीमित करें

WHEN FILE_PATH_MATCHES <glob>

वर्तमान सापेक्ष पथ का glob से मिलान आवश्यक

फ्रेमवर्क/कॉन्फ़िग पथ नियमों को संकीर्ण करें

UNLESS CURRENT_FILE_MATCHES <regex>

जब पूरी फ़ाइल बहिष्करण पैटर्न से मेल खाती है तो विफल

ज्ञात-सुरक्षित संरचनात्मक मामलों को ब्लॉक करें

OBSERVE PROJECT_HAS_GLOB <glob> AS <label>

ट्रेस मेटाडेटा में संबंधित प्रोजेक्ट फ़ाइलों को रिकॉर्ड करें

सहायक कॉन्फ़िग या साथी फ़ाइलों को सतह पर लाएँ

REPORT AS <outcome>

नियम परिणाम सेट करें, आमतौर पर area_of_interest

भविष्य-प्रूफ स्पष्ट परिणाम

REASON <text>

नियम पास होने पर दिखाया गया कारण

बताएँ कि निष्कर्ष दृश्यमान क्यों रहा

FAIL_REASON <text>

नियम मिलान को दबाने पर दिखाया गया कारण

बताएँ कि हिट को फ़िल्टर क्यों किया गया

TRACE <text>

डीबग/निर्णय ट्रेस पंक्तियाँ जोड़ें

माइग्रेशन/डीबगिंग समर्थन

रनटाइम फ़ाइलें (स्कैन स्थिति, लॉग, इन्वेंट्री) `runtime/` के अंतर्गत लिखी जाती हैं। वेब UI के माध्यम से चलाते समय, प्रत्येक जॉब के आउटपुट को अतिरिक्त रूप से `runtime/webui/jobs/<job-id>/artifacts/` के अंतर्गत स्नैपशॉट किया जाता है (देखें [Web UI (Docker)](#web-ui-docker))। --- ## लेखक | | | |---|---| | वेबसाइट | [coffeeandsecurity.com](https://www.coffeeandsecurity.com) | | ईमेल | [email protected] | | ट्विटर / X | [@coffeensecurity](https://x.com/coffeensecurity) | | स्रोत | [github.com/coffeeandsecurity/DakshSCRA](https://github.com/coffeeandsecurity/DakshSCRA) | | लाइसेंस | GNU जनरल पब्लिक लाइसेंस v3.0 (GPL-3.0) | यदि DakshSCRA ने आपकी टीम का महत्वपूर्ण समय, प्रयास, या लागत बचाने में मदद की है, महंगे वाणिज्यिक टूल्स पर निर्भरता कम की है, समीक्षा कवरेज में सुधार किया है, या कोड समीक्षा को अधिक संरचित और प्रभावी बनाया है, तो बेझिझक संपर्क करें और अपना अनुभव साझा करें। मैं हमेशा विचारशील प्रतिक्रिया और दिलचस्प बातचीत के लिए तैयार हूँ। कोई बग मिला या योगदान देना चाहते हैं? GitHub पर एक issue या pull request खोलें।

माउंट	कंटेनर के अंदर पाथ
प्रोजेक्ट सोर्स	`/app`
डिफ़ॉल्ट स्कैन रूट	`/scan-targets`
होस्ट ड्राइव उपनाम	`/host`, `/host/c`, `/host/d`
WSL माउंट	`/mnt`, `/run/desktop/mnt/host`

चर	विवरण
`DAKSH_PORT`	Web UI पोर्ट (डिफ़ॉल्ट: `8080`)
`DAKSH_SCAN_ROOT`	कंटेनर के अंदर डिफ़ॉल्ट लक्ष्य निर्देशिका
`DAKSH_HOST_SOURCE`	`/scan-targets` के रूप में माउंट करने के लिए होस्ट पाथ (डिफ़ॉल्ट: `/tmp`)
`DAKSH_HOST_MOUNT`	अतिरिक्त होस्ट माउंट रूट
`DAKSH_HOST_C`	Windows C: ड्राइव पाथ (WSL)
`DAKSH_HOST_D`	Windows D: ड्राइव पाथ (WSL)
`DAKSH_DESKTOP_MOUNT`	WSL डेस्कटॉप माउंट पाथ
`DAKSH_BROWSE_ROOTS`	डायरेक्टरी ब्राउज़र रूट ओवरराइड करें (कॉमा-सेपरेटेड)
`DAKSH_ADMIN_USERNAME`	प्रारंभिक एडमिन उपयोगकर्ता नाम (डिफ़ॉल्ट: `admin`)
`DAKSH_ADMIN_PASSWORD`	प्रारंभिक एडमिन पासवर्ड - स्पष्ट रूप से सेट करने की दृढ़ता से अनुशंसा की जाती है

प्लेटफ़ॉर्म	फ्रेमवर्क
dotnet	aspnetcore, entityframework
php	codeigniter, drupal, laravel, symfony, wordpress
java	hibernate, spring, springboot
javascript	angular, express, nestjs, nextjs, react, vue
kotlin	ktor, springkotlin
python	django, fastapi, flask
go	echo, fiber, gin
c	freertos
cpp	boost, qt
android	cordova-android, flutter-android, ionic-android, jetpack, nativescript-android, reactnative-android, xamarin-android
ios	cordova-ios, flutter-ios, ionic-ios, nativescript-ios, reactnative-ios, swiftui, uikit, xamarin-ios
reactnative	reactnative
flutter	flutter
xamarin	xamarin
ionic	ionic
nativescript	nativescript
cordova	cordova
ruby	rails, sinatra
rust	actix, axum, rocket
common	-

DakshSCRA

सबसे लोकप्रिय

छवि में क्या है

CLI सेटअप

पूर्व-आवश्यकताएँ

1. Daksh SCRA डाउनलोड करें```bash

उपयोग उदाहरण

Single platform scan

Multiple platforms

Auto-detect platform and apply matching rules

Override filetypes

Reconnaissance only (no scanning)

Reconnaissance + scanning

Strict recon (high-confidence detections only)

Effort estimation

Scan with HTML + PDF report output

Verbosity levels

Generate suppression baseline from current findings

Apply suppression baseline (suppress known FPs)

Disable baseline for this run

Apply findings triage / review config

Scan with checkpoint state enabled

Resume an interrupted scan

Resume with a custom state file

Generate PDF from existing JSON outputs (no re-scan)

Generate PDF from a custom JSON directory

Custom output paths for PDF

Single combined PDF only (skip per-platform set)

RDL नियम लेखन

RDL आर्किटेक्चर एक नज़र में```text

वर्तमान `.rdl` संरचना```text

निष्पादन शब्दार्थ

समर्थित RDL कमांड

उदाहरण 1 - PHP SQL इंजेक्शन गेटिंग

उदाहरण 2 - फ़ाइल-जागरूक जाँच के साथ Android मैनिफेस्ट नियम

उदाहरण 3 - फ़ाइल-पथ रुचि-क्षेत्र नियम

लेखन मार्गदर्शन

रिपोर्ट आउटपुट संरचना