프레임워크 인식 정적 코드 분석 도구로, 플랫폼별 규칙, 오염 분석, 노력 추정 및 억제 기준선을 통해 자동화된 소스 코드 리뷰를 수행합니다.

분리 / 백그라운드 모드:```bash docker compose up --build -d

스택을 중지하려면:```bash docker compose down

이미지에 포함된 내용

• FastAPI 백엔드 + Web UI 프론트엔드
• 별도 서비스로 제공되는 전체 Daksh SCRA CLI
• PDF 생성을 위한 Playwright Chromium
• 영구적인 reports/ 및 runtime/ 볼륨
• 컨테이너 내부에서 스캔이 소스 트리에 접근할 수 있도록 하는 호스트 경로 마운트

주요 마운트 지점:

환경 변수 (.env에서 설정):

Docker를 실행하기 전에 .env.example을 .env로 복사하고 머신에 맞는 경로와 자격 증명을 설정하세요.

CLI 설정

Daksh SCRA를 Python으로 직접 실행하는 것을 선호하시나요? 로컬에서 설정하는 방법은 다음과 같습니다.

사전 요구 사항

• Python 3.8 이상
• requirements.txt에 나열된 모든 라이브러리

1. Daksh SCRA 다운로드```bash

git clone https://github.com/coffeeandsecurity/DakshSCRA.git

이 스크립트는 가상 환경을 생성하고, 모든 종속성을 설치하며, PDF 내보내기에 필요한 Playwright의 Chromium 브라우저를 설치합니다.

옵션 B: 수동 설정

Windows:```bash python -m venv daksh-env .\daksh-env\Scripts\activate

그런 다음 의존성을 설치합니다:```bash cd path/to/DakshSCRA pip install -r requirements.txt playwright install chromium

사용 예시

-f (파일 유형)는 선택 사항입니다. 지정하지 않으면 DakshSCRA는 선택한 플랫폼의 기본 파일 유형을 사용합니다.```bash

Single platform scan

python dakshscra.py -r php -t /path/to/source

Multiple platforms

python dakshscra.py -r php,java,cpp -t /path/to/source

Auto-detect platform and apply matching rules

python dakshscra.py -r auto -t /path/to/source

Override filetypes

python dakshscra.py -r php -f dotnet -t /path/to/source

Reconnaissance only (no scanning)

python dakshscra.py --recon -t /path/to/source

Reconnaissance + scanning

python dakshscra.py --recon -r php -t /path/to/source

Strict recon (high-confidence detections only)

python dakshscra.py --recon --rs -t /path/to/source

Effort estimation

python dakshscra.py --estimate -t /path/to/source

Scan with HTML + PDF report output

python dakshscra.py -r auto -t /path/to/source -rpt html,pdf

Verbosity levels

python dakshscra.py -r php -v -t /path/to/source # default python dakshscra.py -r php -vvv -t /path/to/source # show all pattern checks

Generate suppression baseline from current findings

python dakshscra.py -r auto -t /path/to/source --baseline-generate

Apply suppression baseline (suppress known FPs)

python dakshscra.py -r auto -t /path/to/source --baseline-file config/suppressions.json

Disable baseline for this run

python dakshscra.py -r auto -t /path/to/source --no-baseline

Apply findings triage / review config

python dakshscra.py -r auto -t /path/to/source --review-config config/review.json

Scan with checkpoint state enabled

python dakshscra.py -r auto -t /path/to/source --state

Resume an interrupted scan

python dakshscra.py -r auto -t /path/to/source --resume-scan

Resume with a custom state file

python dakshscra.py -r auto -t /path/to/source --resume-scan --state-file runtime/scan_state.json

Generate PDF from existing JSON outputs (no re-scan)

python dakshscra.py --pdf-from-json

Generate PDF from a custom JSON directory

python dakshscra.py --pdf-from-json --json-input-dir ./custom/reports/data

Custom output paths for PDF

python dakshscra.py --pdf-from-json --pdf-output ./reports/scan/pdf/custom.pdf --pdf-multi-dir ./reports/scan/pdf/multi-file

Single combined PDF only (skip per-platform set)

python dakshscra.py --pdf-from-json --pdf-single-only

현재 지원되는 플랫폼 및 프레임워크 매핑:

최신 지원 플랫폼 및 프레임워크를 확인하려면 항상 다음을 실행하세요:```bash python dakshscra.py -l R

Analyzer 구성 옵션:

• analysis.run_by_default
  • true: 스캔 중 분석기가 자동으로 실행됨
  • false: 구성 또는 CLI에서 다시 활성화하지 않는 한 분석기가 비활성화됨
• analysis.include_frameworks
  • true: 프레임워크 감지가 존재하는 곳에 프레임워크 수준 분석기 항목 포함
  • false: 플랫폼 수준 분석기 출력만 포함
• analysis.report_theme
  • hacker_mode: 어두운 고대비 모던 분석기 테마 (기본값)
  • professional_mode: 밝은 모던 분석기 테마
  • both: 두 테마 변형을 나란히 생성

RDL 규칙 작성

RDL(Rule Description Language)은 DakshSCRA의 외부화된 규칙 로직 계층입니다. 현재 아키텍처에서:

• XML 규칙은 규칙 인벤토리로 남아 있으며 name, regex, 설명, 선택적 scan_config와 같은 메타데이터를 전달합니다.
• RDL 로직은 core/rdl_engine.py에 의해 실행됩니다.
• 규칙 로직 파일은 rules/scanning/logic/... 아래에 있으며 XML에서 <rdl_ref>를 사용하여 참조됩니다.
• rdl_ref 값은 rules/scanning/을 기준으로 해석됩니다. 예: logic/php/core/some_rule.rdl -> rules/scanning/logic/php/core/some_rule.rdl
• 로직 결과는 logic_engine, logic_source, logic_reason, logic_trace, logic_consulted_files, logic_outcome과 같은 메타데이터로 보고서 JSON에 내보내집니다.

이전의 인라인 <rdl> 형식은 더 이상 활성 아키텍처가 아니며 새 규칙에 사용해서는 안 됩니다.

RDL 아키텍처 한눈에 보기```text

XML rule -> regex / exclude / scan_config / descriptions -> rdl_ref -> rules/scanning/logic///.rdl -> core/rdl_engine.py -> pass / fail -> reason / fail_reason -> trace / consulted_files / outcome

현재 .rdl 구조```text

VERSION 1 WHEN PRESENT /\b(?:mysql_query|mysqli_query|->query)\s*\(/i WHEN EXPR PRESENT:\$_(GET|POST|REQUEST|COOKIE) && MISSING:\b(?:prepare|bindParam|bindValue|PDO::prepare)\b REPORT AS area_of_interest REASON SQL query execution appears reachable without parameterisation in this file. FAIL_REASON Matching query API was found, but the file also contains prepared-statement indicators. TRACE SQLi gate: input source present and mitigation missing.

실행 의미

• WHEN PRESENT, WHEN MISSING, WHEN CURRENT_FILE_MATCHES는 현재 파일 텍스트를 기준으로 평가합니다.
• WHEN FILE_NAME_IS와 WHEN FILE_PATH_MATCHES는 현재 파일 경로 컨텍스트를 기준으로 평가합니다.
• WHEN EXPR는 PRESENT:, MISSING:, EXISTS: 조건자에 대한 부울 논리를 지원합니다.
• OBSERVE PROJECT_HAS_GLOB ... AS ...는 발견 항목을 게이트하지 않으며, 관련 프로젝트 파일을 추적 메타데이터에 기록합니다.
• REPORT AS, REASON, FAIL_REASON, TRACE는 내보내는 보고 메타데이터를 제어합니다.
• 정규식 토큰은 원시 패턴 또는 /pattern/flags로 작성할 수 있으며, i, m, s 플래그가 지원됩니다.

지원되는 RDL 명령

WHEN EXPR의 부울 표현식은 다음을 지원합니다:

• PRESENT:<regex>
• MISSING:<regex>
• EXISTS:<regex>
• &&, ||, !, 및 괄호

예제 1 - PHP SQL 인젝션 게이팅

XML 규칙:```xml Possible SQL Injection in Query Execution query)\s*\(]]> <rdl_ref>logic/common/core/insecure_sql_query_unsafe_string_concatenation.rdl</rdl_ref> <rule_desc>...</rule_desc>

예제 2 - 파일 인식 검사를 포함한 Android 매니페스트 규칙

XML 규칙:```xml Exported Components Without Permission activity|service|receiver|provider)\s[^>]*android:name="(?P[^"]+)"[^>]*android:exported="true"[^>]*(?:/>|>)]]> <rdl_ref>logic/mobile/android/core/exported_components.rdl</rdl_ref> <scan_config>...</scan_config>

예제 3 - 파일 경로 관심 영역 규칙

XML 규칙:```xml Admin Section File Path <rdl_ref>logic/filepaths/core/admin_section.rdl</rdl_ref>

작성 지침

• regex는 후보를 포착할 수 있을 만큼 충분히 넓게 유지한 다음, RDL을 사용해 컨텍스트를 필터링하세요.
• 모든 규칙 로직에는 rdl_ref를 우선 사용하고, .rdl 파일을 해당 플랫폼/프레임워크 로직 트리 옆에 두세요.
• 새 인라인 <rdl> 블록을 추가하지 마세요.
• 단순 게이트에는 WHEN PRESENT / WHEN MISSING을 사용하고, 로직이 진정한 부울일 때만 WHEN EXPR을 사용하세요.
• 검토자용 근거는 REASON에, 억제 설명은 FAIL_REASON에 넣으세요.
• PRESENT와 MISSING은 파일 전체 검사로 취급하세요. 파일 어디에든 완화 조치가 있으면 해당 파일의 모든 매치를 억제할 수 있습니다.
• OBSERVE PROJECT_HAS_GLOB를 사용해 프로젝트 컨텍스트로 결과를 보강하되, 통과/실패 게이트로는 사용하지 마세요.
• logic/... 경로는 안정적이고 플랫폼 범위로 유지하여 XML 규칙이 얇게 유지되고 로직 계층이 재사용 가능하도록 하세요.

보고서 출력 구조

모든 출력은 reports/ 디렉터리 아래에 작성됩니다:``` reports/ ├── scan/ │ ├── html/ │ │ ├── report.html # Single-file HTML scan report │ │ └── multi-file/ # Per-platform HTML report set │ ├── pdf/ │ │ ├── report.pdf # Single-file PDF scan report │ │ └── multi-file/ # Per-platform PDF report set │ ├── recon/ │ │ └── reconnaissance.html # Reconnaissance HTML report │ └── estimate/ │ └── estimation.html # Effort estimation HTML report ├── analysis/ │ └── / │ ├── analysis.html # Taint analysis report (default theme) │ ├── analysis_professional.html # Professional theme (if theme=both) │ ├── analysis_xref.html # Cross-reference report │ └── analysis.json # Structured analysis data └── data/ ├── areas_of_interest.json # AoI findings ├── filepaths_aoi.json # File path AoI findings ├── summary.json # Scan summary ├── recon.json # Recon summary └── analysis.json # Analyzer output