Sucosh Scanny

"Sucosh" は、自動化されたソースコード脆弱性スキャナー(SAST)であり、Python(Flask-Django)およびNodeJs向けの評価フレームワークです。Webアプリケーション開発やソースコード分析プロセスにおいてコードレビューを実行できます。与えられたソースコード内の多くの脆弱性(RCE、SSTI、安全でないデシリアライゼーション、SSRF、SQLI、CSRFなど)を検出できます。現在のところ、python(flask,django)およびnodejs(express js.)言語の検出モジュールのみが完成しています。将来的には、php(Laravel, Codeigniter)、.NET、Go、その他の言語向けの具体的な検出機能が作成される予定です。

使用例

• ソースコード分析スキャンの例: python3 sucosh.py -p <コードパスを入力>

スクリーンショット

スキャン

Python

• Flask
• Django

Node Js.

• Express JS.

その他の言語とフレームワーク

• 近日中にアップデート予定

RCE

• 危険な関数を見つける
• 緩和関数を見つける
• 入力を追跡

LFI

• 危険な関数を見つける
• 入力を追跡

SSTI

• 危険な関数を見つける
• 入力を追跡

SSRF

• 危険な関数を見つける
• 入力を追跡

CSRF

• HTMLフォーム内のCSRFトークンをチェック

シークレット検出

• シークレットデータ(AWSキーなど)をチェック

SQLI

• SQL構造内の文字列連結を見つける
• ソースコード内の入力を見つける

CVE

• 脆弱な依存関係をチェック

XSS

リフレクテッド

• SQL構造内の文字列連結を見つける
• すべてのプログラミング言語で入力を見つける

ストアド

• すべてのプログラミング言語で危険な関数を見つける
• すべてのプログラミング言語で入力を見つける
• すべてのプログラミング言語で緩和関数を見つける

DOM

• DOMおよびすべてのプログラミング言語で危険な関数を見つける
• DOMのすべてのプログラミング言語で緩和関数を見つける
• DOMのすべてのプログラミング言語で入力を見つける
• 脆弱なJQueryバージョンを見つける

カスタムルールセット

• YAMLによるルールセット統合

Web機能

** 開発者チーム向けTODO**

• 管理者ダッシュボードと開発者ダッシュボード
• すべての脆弱性の重要度グラフ
• 脆弱性の一覧表示
• GithubまたはGitlab APIキー統合

コントリビューター ✨

これらの素晴らしい方々に感謝します：