OWASP ABAP Code Scanner

Static Application Security Testing (SAST) per SAP ABAP. Una CLI gratuita e open-source per individuare vulnerabilità di sicurezza nel codice ABAP personalizzato - offline e in CI.

Edizioni

Edizione	Cos'è	Dove
CLI open-source (gratuita, MIT)	Scansiona il sorgente ABAP esportato in locale o in CI	Questo repository (sotto)
Cloud (SAP BTP)	SaaS commerciale che legge ABAP tramite destinazioni BTP	Edizione Cloud / BTP
Web (Console di gestione)	SAST web commerciale che si connette a SAP tramite JCo / RFC	Edizione Web

Le edizioni commerciali sono di RedRays; questo progetto OWASP (la CLI open-source) è gratuito e open source.

Perché

SAP gira su codice ABAP personalizzato - spesso milioni di righe, scritte in decenni, che alimentano buste paga, finanza e logistica. Quel codice viene raramente sottoposto a revisione di sicurezza ed è una fonte frequente di bug di injection, path traversal e segreti hard-coded, mentre gli strumenti SAP standard sono pesanti e legati al sistema.

Questa CLI analizza staticamente il sorgente ABAP esportato offline - nessuna connessione SAP, nessun agente, nessuna telemetria - e genera un report XLSX su cui puoi agire. Inseriscila nella CI come gate per le pull request.

Avvio rapido

Richiede Python 3.9+ e pip.

git clone https://github.com/OWASP/abap-code-scanner.git
cd abap-code-scanner
pip install -r requirements.txt

python main.py path/to/abap/source

Quando la scansione termina, troverai abap_security_scan_report.xlsx nella cartella del progetto:

Opzioni della CLI

Opzione	Descrizione	Predefinito
`path`	Directory del sorgente ABAP da scansionare	(obbligatorio)
`-c`, `--config`	Percorso del file di configurazione YAML

Configurazione

Lo scanner legge un file YAML (predefinito config.yml, sostituibile con -c). Scegli i check da eseguire, le estensioni di file da includere e i pattern da escludere:

checks:
  - CheckCrossSiteScripting
  - CheckSQLInjection
  - CheckDirectoryTraversal

file_extensions:
  - .abap
  - .txt

exclude_patterns:
  - "**/test/**"

Scrivere un check personalizzato

Crea un nuovo file Python nella directory checks/.
Definisci una classe che eredita dalla classe base dei check.
Implementa i metodi richiesti, incluso il metodo principale run.
Aggiungi il nome della classe all'elenco checks: nel tuo file di configurazione.

Esecuzione dei test

# Unix-like
./run_tests.sh

# Windows
run_tests.bat

Roadmap

Analisi del flusso di dati / taint analysis (dalle sorgenti ai sink) per ridurre i falsi positivi
Output SARIF per il code scanning di GitHub
Output JSON
Più check mappati sull'OWASP Top 10 e sulle linee guida SAP per la codifica sicura

Contribuire

Le pull request sono benvenute - nuovi check, casi di test, correzioni di bug e documentazione: tutto aiuta. Vedi CONTRIBUTING.md e segui il Codice di Condotta OWASP.

Sicurezza

Hai trovato una vulnerabilità nello scanner stesso? Segui il processo di responsible disclosure in SECURITY.md - non aprire una issue pubblica per le segnalazioni di sicurezza.

Licenza

MIT. Creato e mantenuto originariamente da RedRays. Le edizioni Cloud (SAP BTP) e Web (Console di gestione) sono prodotti commerciali; questo progetto OWASP (la CLI open-source) è gratuito e open source.

_{Un progetto Incubator di OWASP.}

abap-code-scanner

Più Popolari