Sucosh Scanny

"Sucosh" è uno scanner automatizzato di vulnerabilità del codice sorgente (SAST) e un framework di valutazione per Python (Flask-Django) e NodeJs, in grado di eseguire la revisione del codice nei processi di sviluppo di applicazioni web o di analisi del codice sorgente. Può rilevare numerose vulnerabilità (RCE, SSTI, Deserializzazione non sicura, SSRF, SQLI, CSRF, ecc.) nel codice sorgente fornito. Per ora, sono stati completati solo i moduli di rilevamento per i linguaggi Python (Flask, Django) e NodeJs (Express JS). In futuro, verranno scritte funzioni di rilevamento specifiche per PHP (Laravel, Codeigniter), .NET, Go e altri linguaggi.

Esempio di utilizzo

• Analisi del codice sorgente Ad esempio: python3 sucosh.py -p <entercodepath>

Schermate

Scansione

Python

• Flask
• Django

Node Js.

• Express JS.

Altri linguaggi e framework

• Presto arriveranno aggiornamenti

RCE

• Trova funzioni pericolose
• Trova funzioni di mitigazione
• Tracciamento degli input

LFI

• Trova funzioni pericolose
• Tracciamento degli input

SSTI

• Trova funzioni pericolose
• Tracciamento degli input

SSRF

• Trova funzioni pericolose
• Tracciamento degli input

CSRF

• Controlla il token CSRF nei moduli HTML

Rilevamento segreti

• Controlla dati segreti (AWS-Key, ecc.)

SQLI

• Trova concatenazioni di stringhe nelle strutture SQL
• Trova input nel codice sorgente

CVE

• Controlla dipendenze vulnerabili

XSS

Riflesso (Reflected)

• Trova concatenazioni di stringhe nelle strutture SQL
• Trova input in ogni linguaggio di programmazione

Memorizzato (Stored)

• Trova funzioni pericolose in ogni linguaggio di programmazione
• Trova input in ogni linguaggio di programmazione
• Trova funzioni di mitigazione in ogni linguaggio di programmazione

DOM

• Trova funzioni pericolose DOM e in ogni linguaggio di programmazione
• Trova funzioni di mitigazione DOM in ogni linguaggio di programmazione
• Trova input DOM in ogni linguaggio di programmazione
• Trova versioni vulnerabili di jQuery

Set di regole personalizzate

• Integrazione del set di regole con YAML

Funzionalità web

** Da fare per i team di sviluppo**

• Pannello di amministrazione e pannelli per sviluppatori
• Grafici per la gravità di tutte le vulnerabilità
• Elenco delle vulnerabilità
• Integrazione con API Key di Github o Gitlab

Contributori ✨

Grazie a queste meravigliose persone: