OWASP ABAP Code Scanner

Static Application Security Testing (SAST) per SAP ABAP. Una CLI gratuita e open-source per individuare vulnerabilità di sicurezza nel codice ABAP personalizzato - offline e in CI.

Edizioni

Edizione	Cos'è	Dove
CLI open-source (gratuita, MIT)	Analizza il codice sorgente ABAP esportato localmente o in CI	Questo repo (di seguito)
Cloud (SAP BTP)	SaaS commerciale che legge ABAP tramite destinazioni BTP	Edizione Cloud / BTP
Web (Management Console)	SAST web commerciale che si connette a SAP tramite JCo / RFC	Edizione Web

Le edizioni commerciali sono di RedRays; questo progetto OWASP (la CLI open-source) è gratuito e open source.

Perché

SAP si basa su codice ABAP personalizzato - spesso milioni di righe, scritte nell'arco di decenni, che alimentano payroll, finanza e logistica. Quel codice è raramente sottoposto a revisione di sicurezza ed è una fonte frequente di bug di injection, path-traversal e secret hard-coded, mentre gli strumenti SAP standard sono pesanti e legati al sistema.

Questa CLI analizza staticamente il codice sorgente ABAP esportato offline - nessuna connessione a SAP, nessun agente, nessuna telemetria - e produce un report XLSX su cui puoi agire. Inseriscila in CI per bloccare le pull request.

Avvio rapido

Richiede Python 3.9+ e pip.

git clone https://github.com/OWASP/abap-code-scanner.git
cd abap-code-scanner
pip install -r requirements.txt

python main.py path/to/abap/source

Al termine della scansione troverai abap_security_scan_report.xlsx nella cartella del progetto:

Opzioni CLI

Opzione	Descrizione	Predefinito
`path`	Directory del codice sorgente ABAP da analizzare	(obbligatorio)
`-c`, `--config`	Percorso del file di configurazione YAML	`config.yml`

Configurazione

Lo scanner legge un file YAML (predefinito config.yml, sovrascrivibile con -c). Scegli i controlli da eseguire, le estensioni di file da includere e i pattern da escludere:

checks:
  - CheckCrossSiteScripting
  - CheckSQLInjection
  - CheckDirectoryTraversal

file_extensions:
  - .abap
  - .txt

exclude_patterns:
  - "**/test/**"

Scrivere un controllo personalizzato

Crea un nuovo file Python nella directory checks/.
Definisci una classe che erediti dalla classe base dei controlli.
Implementa i metodi richiesti, incluso il metodo principale run.
Aggiungi il nome della classe alla lista checks: nel tuo file di configurazione.

Eseguire i test

# Unix-like
./run_tests.sh

# Windows
run_tests.bat

Roadmap

Analisi data-flow / taint (dalle sorgenti ai sink) per ridurre i falsi positivi
Output SARIF per il code scanning di GitHub
Output JSON
Più controlli mappati sull'OWASP Top 10 e sulle linee guida SAP di secure coding

Contribuire

Le pull request sono benvenute: nuovi controlli, casi di test, correzioni di bug e documentazione sono tutti utili. Vedi CONTRIBUTING.md e segui il Codice di Condotta OWASP.

Sicurezza

Hai trovato una vulnerabilità nello scanner stesso? Segui il processo di responsible disclosure in SECURITY.md - non aprire una issue pubblica per le segnalazioni di sicurezza.

Licenza

MIT. Originariamente contribuito e mantenuto da RedRays. Le edizioni Cloud (SAP BTP) e Web (Management Console) sono prodotti commerciali; questo progetto OWASP (la CLI open-source) è gratuito e open source.

_{Un progetto OWASP Incubator.}

abap-code-scanner

Più Popolari