Sighthound

यह क्या करता है

• AST-जागरूक नियमों का उपयोग करके सुरक्षा समस्याओं के लिए स्रोत कोड स्कैन करता है।
• पैटर्न मोड और टेंट मोड (स्रोत से सिंक ट्रैकिंग) का समर्थन करता है।
• मल्टी-फ़ाइल प्रोजेक्ट और समानांतर निष्पादन को संभालता है।
• परिणामों को टेक्स्ट, JSON, CSV या SARIF के रूप में आउटपुट करता है।
• फ़ाइल एक्सटेंशन द्वारा एम्बेडेड नियम पैक लोड करता है, वैकल्पिक फ़ाइल-आधारित कस्टम नियमों के साथ।

भाषा समर्थन

वर्तमान में समर्थित नहीं: Razor (.cshtml), C/C++ (.c, .h)।

स्थापना

पूर्वापेक्षाएँ:

• Rust 1.85+
• Git

स्रोत से निर्माण:

git clone https://github.com/Corgea/Sighthound.git
cd Sighthound
cargo build --release

बाइनरी पथ: target/release/sighthound

Linux-कंटेनर-संगत रिलीज़ निर्यात:

DOCKER_BUILDKIT=1 docker build \
  --target export \
  --output type=local,dest=./sighthound_release \
  .

या ./build_all_platforms.sh चलाएँ।

त्वरित प्रारंभ

# भाषाओं का स्वतः पता लगाएँ और एम्बेडेड नियम चलाएँ
cargo run --bin sighthound -- /path/to/project

# स्पष्ट भाषा + कस्टम नियम पथ
cargo run --bin sighthound -- /path/to/project python rules/python

# केवल टेंट स्कैन और JSON आउटपुट
cargo run --bin sighthound -- --taint-analysis --output-format json /path/to/project > findings.json

# GitHub कोड स्कैनिंग के लिए SARIF आउटपुट
cargo run --bin sighthound -- --output-format sarif /path/to/project > results.sarif

CLI आकार:

sighthound [OPTIONS] <ROOT_DIR> [LANGUAGE] [RULES_PATH]

पूर्ण विकल्प सूची के लिए sighthound --help चलाएँ।

GitHub Code Scanning

sarif आउटपुट फ़ॉर्मेट SARIF 2.1.0 लिखता है, जिसे GitHub Code Scanning सीधे ग्रहण करता है। इसे वर्कफ़्लो से अपलोड करें ताकि परिणाम पुल रिक्वेस्ट पर इनलाइन और रिपॉज़िटरी के Security टैब में दिखाई दें:

रिपॉज़िटरी रूट से स्कैन चलाएँ और SARIF आर्टिफैक्ट URI को रिपॉज़िटरी-सापेक्ष रखने के लिए <ROOT_DIR> के रूप में . (या रिपॉज़िटरी रूट का पूर्ण पथ) का उपयोग करें।

- name: Sighthound चलाएँ
  run: sighthound --output-format sarif . > results.sarif
- name: SARIF अपलोड करें
  uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: results.sarif

नियम

नियम RON में लिखे जाते हैं और दोनों का समर्थन करते हैं:

• पैटर्न मिलान के लिए mode: "search"
• स्रोत/सिंक/सैनिटाइज़र विश्लेषण के लिए mode: "taint"

यहाँ से शुरू करें:

• Rule Writing Guide
• बंडल किए गए नियम निर्देशिका

विकास

मुख्य कमांड:

make check        # fix + format + lint + test + suppression report
make pre-commit   # staged Rust फ़ाइलें (hook)
make pre-push     # पुश गेट जाँच
make ci           # सख्त CI पाइपलाइन

अतिरिक्त गुणवत्ता गेट:

make complexity
make audit
make acceptance
cargo harness coverage --min=0
cargo harness crap --max=30

सीमाएँ

• डायनामिक कोड पथों में रनटाइम-केवल भेद्यताएँ छूट सकती हैं।
• बहुत बड़ी फ़ाइलें स्कैन समय बढ़ा सकती हैं।
• मल्टी-फ़ाइल टेंट समर्थित है लेकिन इसे और मजबूत करने की आवश्यकता है।

योगदान

• योगदान दिशानिर्देश
• आचार संहिता
• सुरक्षा नीति

लाइसेंस

• MIT लाइसेंस
• तृतीय-पक्ष सूचनाएँ