semgrep-rules

"The attack surface is the vulnerability. Finding a bug there is just a detail."

-- Mark Dowd

"Some details are more important than others."

-- Fedor G. Pikus

Una raccolta delle mie regole Semgrep per facilitare la ricerca di vulnerabilità.

Articoli del blog

• https://hnsecurity.it/blog/semgrep-ruleset-for-c-c-vulnerability-research
• https://hnsecurity.it/blog/automating-binary-vulnerability-discovery-with-ghidra-and-semgrep
• https://hnsecurity.it/blog/big-update-to-my-semgrep-c-cpp-ruleset
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-the-idalib-rust-bindings-for-ida-9-2/
• https://hnsecurity.it/blog/my-semgrep-c-cpp-ruleset-is-ready-for-prime-time-again/

Vedi anche

• https://appsec.guide/docs/static-analysis/semgrep/
• https://semgrep.dev/docs/writing-rules/overview
• https://semgrep.dev/r

Istruzioni di configurazione e utilizzo

1. Installa Semgrep.
2. Per usare queste regole tramite il registro Semgrep, esegui quanto segue dalla cartella principale del repository del codice sorgente di destinazione:

# high priority scan (quick wins)
semgrep --severity ERROR --config "p/0xdea"

# high and medium priority scan (recommended)
semgrep --severity ERROR --severity WARNING --config "p/0xdea"

# full scan (might include marginal findings and more false positives)
semgrep --config "p/0xdea"

In alternativa, puoi clonare questo repository GitHub in locale ed eseguire:

# full scan
semgrep --config semgrep-rules/rules /path/to/source

# specific rule scan
semgrep --config semgrep-rules/rules/c/command-injection.yaml /path/to/source

[!TIP] Specifica l'opzione --no-git-ignore per analizzare i file indipendentemente dallo stato di tracciamento git o dalle regole .gitignore.

Per un'esperienza più fluida, consiglio di salvare l'output dell'analisi Semgrep in formato SARIF e di usare SARIF Explorer in VS code:

semgrep --sarif --sarif-output=/path/to/source/SEMGREP.sarif --config semgrep-rules/rules /path/to/source
code /path/to/source # then open the SEMGREP.sarif file in VS code with SARIF Explorer 

Vedi anche l'esempio di output SARIF incluso.

Compatibilità

Testato con Semgrep CLI 1.169.0.

Regole

C/C++

Ruleset C (e talvolta C++) collaudato sul campo.

buffer overflow

• insecure-api-gets. Uso della funzione API insicura gets.
• insecure-api-strcpy-strcat. Uso di funzioni API potenzialmente insicure strcpy, stpcpy, strcat.
• insecure-api-sprintf-vsprintf. Uso di funzioni API potenzialmente insicure sprintf e vsprintf.
• insecure-api-scanf. Uso di funzioni API potenzialmente insicure della famiglia scanf.
• incorrect-use-of-strncat. Argomento di dimensione errato passato a strncat.
• use-of-source-size-in-copy. Argomento di dimensione errato passato a strncpy, memcpy, snprintf e varianti.
• incorrect-use-of-sizeof. Uso accidentale dell'operatore sizeof su un puntatore invece che sulla sua destinazione.
• unterminated-string-strncpy. Mancata terminazione NUL esplicita dopo strncpy e stpncpy.
• off-by-one. Potenziale errore off-by-one.
• unsafe-ret-snprintf-vsnprintf. Uso potenzialmente insicuro del valore di ritorno di snprintf e vsnprintf.
• unsafe-ret-strlcpy-strlcat. Uso potenzialmente insicuro del valore di ritorno di strlcpy e strlcat.
• pointer-subtraction. Potenziale uso della sottrazione di puntatori per determinare la dimensione.
• write-into-stack-buffer. Scrittura diretta in un buffer allocato sullo stack.

integer overflow

• integer-wraparound. Potenziali errori di wraparound degli interi.
• unsafe-strlen. La conversione del valore di ritorno di strlen in short potrebbe essere pericolosa.
• integer-truncation. Potenziali errori di troncamento degli interi.
• signed-unsigned-conversion. Potenziali errori di conversione signed/unsigned.
• incorrect-unsigned-comparison. Controllo se una variabile unsigned è negativa.

format string

• format-string-bugs. Potenziali bug di format string.

gestione della memoria