RIPS

PHP 스크립트의 취약점을 분석하는 정적 소스 코드 분석기

요구 사항

• 웹 서버: Apache 또는 Nginx 권장
• PHP: 최신 버전 권장
• 브라우저: Firefox 권장

설치

1. 최신 릴리스를 다운로드합니다.
2. 파일을 로컬 웹 서버의 문서 루트에 압축 해제합니다.
3. 웹 서버에 파일 권한이 있는지 확인합니다.
4. 설치가 무단 액세스로부터 보호되는지 확인합니다.
5. 브라우저에서 http://localhost/rips-xx/를 엽니다.

사용법

메인 페이지의 지침을 따르세요.

명령줄 인터페이스 - CLI

사용법

더 많은 옵션은 원본 php-rips 스캔 HTML 양식(index.php)을 참조하세요.

  php index.php [option=value]

예: ./code를 모든 취약점 클래스에 대해 재귀적으로 스캔

  php index.php loc=./code subdirs=1 vector=all verbosity=2

참고: CLI 모드에서는 argv가 $_POST로 파싱되므로 모든 POST 변수를 설정할 수 있습니다.

Jenkins-CI 통합 참고 사항

1. html publisher plugin을 설치합니다.

2. 이 저장소와 스캔할 소스를 서로 다른 폴더에 복제하도록 (여러) scm을 구성합니다.

3. 빌드 단계 추가: 셸 실행

   root@kitploit:~

   # config - remove this if you configure it via jenkins parameterized builds
   PATH_RIPS=rips-scanner
   PATH_REPORT=report
   FILE_REPORT=report.html
   PATH_TARGET=code
   RIPS_RECURSE_SUBDIR=1
   RIPS_VECTOR=all
   RIPS_VERBOSITY=2
   # copy dependencies
   mkdir -p report
   cp -r rips-scanner/css report
   cp -r rips-scanner/js report
   # run analysis
   echo "========================================================="
   echo "[**] running scan ... $PATH_TARGET"
   echo "========================================================="
   php $PATH_RIPS/index.php ignore_warning=1 loc=$PATH_TARGET subdirs=$RIPS_RECURSE_SUBDIR vector=$RIPS_VECTOR verbosity=$RIPS_VERBOSITY treestyle=1 stylesheet=ayti > $PATH_REPORT/$FILE_REPORT
   echo "========================================================="
   echo "[**] scan done ... check out $PATH_REPORT/$FILE_REPORT"
   echo "========================================================="
   

4. 빌드 단계 추가: Python 실행

   root@kitploit:~

   import os, sys
   import rips_stats as rips
   if __name__=="__main__":
       report = os.path.join(os.environ.get("PATH_REPORT","report"),os.environ.get("FILE_REPORT","report.html"))
       sys.exit(rips.main([report]))
   

5. 빌드 후 단계 추가: html 게시, 폴더 'report' 이름 'vulnerability-report' 선택. 보관된 스캔 결과를 가리키는 새로운 클릭 가능한 작업 아이콘 'vulnerability-report'가 나타납니다.

개발

RIPS의 community 브랜치는 버전 0.55에서 포크되었으며 RIPS Technologies에서 공식적으로 지원하지 않습니다.

RIPS Technologies에서는 오픈 소스 버전의 근본적인 한계를 극복하고 최첨단 보안 분석을 수행하는 완전히 재구축된 솔루션을 제공합니다.

RIPS 차세대에 대해 자세히 알아보려면 https://www.ripstech.com/product/datasheets/를 참조하세요.