Esempio: scansiona ricorsivamente ./code per tutte le classi di vulnerabilità

Nota: in modalità cli argv viene analizzato in $_POST consentendo quindi di impostare qualsiasi variabile POST.

Note di integrazione con Jenkins-CI

1. installa il plugin html publisher

2. configura (più) scm per clonare sia questo repository che il codice sorgente che vuoi scansionare in cartelle distinte

3. aggiungi un passaggio di build: esegui shell

   root@kitploit:~

   # config - remove this if you configure it via jenkins parameterized builds
   PATH_RIPS=rips-scanner
   PATH_REPORT=report
   FILE_REPORT=report.html
   PATH_TARGET=code
   RIPS_RECURSE_SUBDIR=1
   RIPS_VECTOR=all
   RIPS_VERBOSITY=2
   # copy dependencies
   mkdir -p report
   cp -r rips-scanner/css report
   cp -r rips-scanner/js report
   # run analysis
   echo "========================================================="
   echo "[**] running scan ... $PATH_TARGET"
   echo "========================================================="
   php $PATH_RIPS/index.php ignore_warning=1 loc=$PATH_TARGET subdirs=$RIPS_RECURSE_SUBDIR vector=$RIPS_VECTOR verbosity=$RIPS_VERBOSITY treestyle=1 stylesheet=ayti > $PATH_REPORT/$FILE_REPORT
   echo "========================================================="
   echo "[**] scan done ... check out $PATH_REPORT/$FILE_REPORT"
   echo "========================================================="
   

4. aggiungi un passaggio di build: esegui python

   root@kitploit:~

   import os, sys
   import rips_stats as rips
   if __name__=="__main__":
       report = os.path.join(os.environ.get("PATH_REPORT","report"),os.environ.get("FILE_REPORT","report.html"))
       sys.exit(rips.main([report]))
   

5. aggiungi un passaggio post-build: pubblica html, seleziona la cartella 'report' con nome 'vulnerability-report'. Apparirà una nuova icona di azione cliccabile 'vulnerability-report' che punta al risultato della scansione archiviato.

Sviluppo

Il ramo community di RIPS deriva da un fork della versione 0.55 e non è supportato ufficialmente da RIPS Technologies.

Una soluzione completamente ricostruita è disponibile presso RIPS Technologies: supera le limitazioni fondamentali della versione open source ed esegue analisi di sicurezza all'avanguardia.

Scopri di più sulla prossima generazione di RIPS su https://www.ripstech.com/product/datasheets/.