Sucosh Scanny

"Sucosh"는 Python(Flask-Django) 및 NodeJs를 위한 자동화된 소스 코드 취약점 스캐너(SAST)이자 평가 프레임워크로, 웹 애플리케이션 개발 또는 소스 코드 분석 과정에서 코드 리뷰를 수행할 수 있습니다. 주어진 소스 코드에서 많은 취약점(RCE, SSTI, 안전하지 않은 역직렬화, SSRF, SQLI, CSRF 등)을 탐지할 수 있습니다. 현재는 Python(flask, django) 및 NodeJs(express js.) 언어의 탐지 모듈만 완료되었습니다. 향후에는 PHP(Laravel, Codeigniter), .NET, Go 및 기타 언어에 대한 특정 탐지 기능이 작성될 예정입니다.

사용 예시

• 소스 코드 분석 스캔 예: python3 sucosh.py -p <entercodepath>

스크린샷

스캐닝

Python

• Flask
• Django

Node Js.

• Express JS.

기타 언어 및 프레임워크

• 곧 업데이트 예정

RCE

• 위험 함수 찾기
• 완화 함수 찾기
• 입력 추적

LFI

• 위험 함수 찾기
• 입력 추적

SSTI

• 위험 함수 찾기
• 입력 추적

SSRF

• 위험 함수 찾기
• 입력 추적

CSRF

• HTML 폼에서 CSRF 토큰 확인

비밀 탐지

• 비밀 데이터 확인 (AWS 키 등)

SQLI

• SQL 구조에서 문자열 연결 찾기
• 소스 코드에서 입력 찾기

CVE

• 취약한 종속성 확인

XSS

반사형

• SQL 구조에서 문자열 연결 찾기
• 모든 프로그래밍 언어에서 입력 찾기

저장형

• 모든 프로그래밍 언어에서 위험 함수 찾기
• 모든 프로그래밍 언어에서 입력 찾기
• 모든 프로그래밍 언어에서 완화 함수 찾기

DOM

• 모든 프로그래밍 언어에서 DOM 위험 함수 찾기
• 모든 프로그래밍 언어에서 DOM 완화 함수 찾기
• 모든 프로그래밍 언어에서 DOM 입력 찾기
• 취약한 jQuery 버전 찾기

사용자 정의 규칙 세트

• YAML을 사용한 규칙 세트 통합

웹 기능

** 개발 팀을 위한 할 일**

• 관리자 대시보드 및 개발자 대시보드
• 모든 취약점 심각도 그래프
• 취약점 목록
• Github 또는 Gitlab API 키 통합

기여자 ✨

다음 멋진 분들께 감사드립니다: