semgrep-rules

「攻撃対象領域こそが脆弱性だ。そこでバグを見つけるのは単なる詳細にすぎない。」

-- Mark Dowd

「ある詳細は、他の詳細よりも重要である。」

-- Fedor G. Pikus

脆弱性調査を容易にするための私のSemgrepルール集です。

ブログ記事

• https://hnsecurity.it/blog/semgrep-ruleset-for-c-c-vulnerability-research
• https://hnsecurity.it/blog/automating-binary-vulnerability-discovery-with-ghidra-and-semgrep
• https://hnsecurity.it/blog/big-update-to-my-semgrep-c-cpp-ruleset
• https://hnsecurity.it/blog/streamlining-vulnerability-research-with-the-idalib-rust-bindings-for-ida-9-2/
• https://hnsecurity.it/blog/my-semgrep-c-cpp-ruleset-is-ready-for-prime-time-again/

関連情報

• https://appsec.guide/docs/static-analysis/semgrep/
• https://semgrep.dev/docs/writing-rules/overview
• https://semgrep.dev/r

セットアップと使用方法

1. Semgrepをインストールします。
2. Semgrepレジストリ経由でこれらのルールを使用するには、対象のソースコードリポジトリのルートフォルダから次のコマンドを実行します：

# high priority scan (quick wins)
semgrep --severity ERROR --config "p/0xdea"

# high and medium priority scan (recommended)
semgrep --severity ERROR --severity WARNING --config "p/0xdea"

# full scan (might include marginal findings and more false positives)
semgrep --config "p/0xdea"

あるいは、このGitHubリポジトリをローカルにクローンして、次のように実行することもできます：

# full scan
semgrep --config semgrep-rules/rules /path/to/source

# specific rule scan
semgrep --config semgrep-rules/rules/c/command-injection.yaml /path/to/source

[!TIP] --no-git-ignore スイッチを指定すると、Gitの追跡ステータスや .gitignore ルールに関係なくファイルをスキャンできます。

よりスムーズに進めるには、Semgrepスキャン出力をSARIF形式で保存し、VS codeでSARIF Explorerを使用することをお勧めします：

semgrep --sarif --sarif-output=/path/to/source/SEMGREP.sarif --config semgrep-rules/rules /path/to/source
code /path/to/source # then open the SEMGREP.sarif file in VS code with SARIF Explorer 

同梱のSARIF出力の例も参照してください。

互換性

Semgrep CLI 1.169.0でテスト済み。

ルール

C/C++

実戦で検証済みのC（場合によってはC++）ルールセット。

バッファオーバーフロー

• insecure-api-gets。安全でないAPI関数getsの使用。
• insecure-api-strcpy-strcat。潜在的に安全でないAPI関数strcpy、stpcpy、strcatの使用。
• insecure-api-sprintf-vsprintf。潜在的に安全でないAPI関数sprintfおよびvsprintfの使用。
• insecure-api-scanf。scanfファミリーの潜在的に安全でないAPI関数の使用。
• incorrect-use-of-strncat。strncatに渡すサイズ引数の誤り。
• use-of-source-size-in-copy。strncpy、memcpy、snprintfおよびその亜種に渡すサイズ引数の誤り。
• incorrect-use-of-sizeof。ポインタではなくその対象に対してsizeof演算子を誤って使用。
• unterminated-string-strncpy。strncpyおよびstpncpyの後に明示的なNUL終端がない。
• off-by-one。潜在的なオフバイワンエラー。
• unsafe-ret-snprintf-vsnprintf。snprintfおよびvsnprintfの戻り値の潜在的に安全でない使用。
• unsafe-ret-strlcpy-strlcat。strlcpyおよびstrlcatの戻り値の潜在的に安全でない使用。
• pointer-subtraction。サイズを求めるためのポインタ減算の潜在的な使用。
• write-into-stack-buffer。スタック上に割り当てられたバッファへの直接書き込み。

整数オーバーフロー

• integer-wraparound。潜在的な整数ラップアラウンドエラー。
• unsafe-strlen。strlenの戻り値をshortにキャストすると危険な場合がある。
• integer-truncation。潜在的な整数切り詰めエラー。
• signed-unsigned-conversion。潜在的な符号付き/符号なし変換エラー。
• incorrect-unsigned-comparison。符号なし変数が負かどうかをチェック。

フォーマット文字列

• format-string-bugs。潜在的なフォーマット文字列バグ。

メモリ管理

• insecure-api-alloca。潜在的に安全でないAPI関数allocaの使用。
• use-after-free。free後の潜在的な使用。
• double-free。潜在的な二重free。
• incorrect-use-of-free。ヒープ上にないメモリに対してfreeを呼び出している。
• unchecked-ret-malloc。malloc、calloc、reallocなどの戻り値をチェックしていない。
• putenv-stack-var。スタック割り当て変数を使ってputenvを呼び出している。
• ret-stack-address。スタック割り当て変数のアドレスを返す可能性。
• mismatched-memory-management。潜在的に不整合なCメモリ管理ルーチン。
• mismatched-memory-management-cpp。潜在的に不整合なC++メモリ管理ルーチン。
• memory-address-exposure。基盤となるメモリアドレスの潜在的な露出。

コマンドインジェクション

• command-injection。systemまたはpopenによる潜在的なOSコマンドインジェクション。

レースコンディション