Bem-vindo ao Opengrep, um fork do Semgrep, sob a licença LGPL 2.1

Opengrep é o mecanismo SAST de código aberto mais avançado.

Vamos tornar o desenvolvimento seguro de software um padrão compartilhado. O Opengrep oferece a cada desenvolvedor e organização análise estática de código aberta e avançada.

O Opengrep é apoiado por um consórcio de organizações de AppSec, incluindo: Aikido, Amplify, Endor Labs, Kodem e Orca Security. Para saber mais, leia o manifesto em opengrep.dev.

Por que Opengrep?

O Opengrep foi criado quando o Semgrep moveu recursos críticos para trás de uma licença comercial. Acreditamos que a análise estática avançada deve permanecer aberta e acessível a todos.

Principais vantagens:

• Compatível com regras do Semgrep - suas regras e conjuntos de regras existentes funcionam sem alterações
• Saídas padrão - formatos JSON e SARIF para fácil integração
• Governança aberta - contribuições aceitas por mérito, não por interesse comercial
• Garantia de longo prazo - comprometido com código aberto sob a LGPL 2.1

Principais Melhorias

O Opengrep introduziu melhorias significativas desde o fork. Os destaques incluem:

Análise de Taint Superior (--taint-intrafile):

• Rastreamento de atribuição de construtores e campos
• Fluxo de taint entre métodos
• Suporte a funções de ordem superior em 12 linguagens
• Taint de métodos de coleção (map, filter, reduce, etc.)

Consulte o Tutorial de Taint Intra-arquivo e o Tutorial de Funções de Ordem Superior para detalhes.

Suporte a Linguagens:

• Visual Basic - não disponível no Semgrep CE ou Pro
• Apex, Elixir - não disponível no Semgrep CE
• Melhorado: Clojure (suporte a taint), PHP 8.4, C# 14

Distribuição:

• Binários autocontidos compilados a partir de OCaml
• Releases assinados com Cosign

Consulte OPENGREP.md para a lista completa de melhorias desde o fork.

Opengrep: Busca de Padrões de Código Rápida e Poderosa

Opengrep é uma ferramenta de análise estática ultrarrápida para buscar padrões de código com o poder do grep semântico. Analise grandes bases de código na velocidade do pensamento com correspondência de padrões intuitiva e regras personalizáveis. Encontre e corrija vulnerabilidades de segurança rapidamente – entregue código mais seguro.

Opengrep suporta mais de 30 linguagens, incluindo:

Apex · Bash · C · C++ · C# · Clojure · Crystal · Dart · Dockerfile · Elixir · Go · HTML · Java · JavaScript · JSON · Jsonnet · JSX · Julia · Kotlin · Lisp · Lua · OCaml · PHP · Python · R · Ruby · Rust · Scala · Scheme · Solidity · Swift · Terraform · TSX · TypeScript · Visual Basic · XML · YAML · Genérico (ERB, Jinja, etc.)

Instalação

Instalação Rápida (Recomendada)

Linux / macOS

curl -fsSL https://raw.githubusercontent.com/opengrep/opengrep/main/install.sh | bash

Ou se você clonou o repositório:

./install.sh

Windows (PowerShell)

irm https://raw.githubusercontent.com/opengrep/opengrep/main/install.ps1 | iex

Ou com uma versão específica:

& ([scriptblock]::Create((irm https://raw.githubusercontent.com/opengrep/opengrep/main/install.ps1))) -Version v1.16.0

Instalação Manual

Os binários estão disponíveis na página de releases.

No Windows, o pacote contém opengrep.exe e as DLLs necessárias; mantenha-os juntos no diretório onde você os instalar.

Primeiros passos

Crie rules/demo-rust-unwrap.yaml com o seguinte conteúdo:

rules:
- id: unwrapped-result
  pattern: $VAR.unwrap()
  message: "Unwrap detected - potential panic risk"
  languages: [rust]
  severity: WARNING

e code/rust/main.rs com o seguinte conteúdo (que contém um unwrap arriscado):

fn divide(a: i32, b: i32) -> Result<i32, String> {
    if b == 0 {
        return Err("Division by zero".to_string());
    }
    Ok(a / b)
}

fn main() {
    let result = divide(10, 0).unwrap(); // Risky unwrap!
    println!("Result: {}", result);
}

Agora você deve ter:

.
├── code
│   └── rust
│       └── main.rs
└── rules
    └── demo-rust-unwrap.yaml

Agora execute:

❯ opengrep scan -f rules code/rust

┌──────────────┐
│ Opengrep CLI │
└──────────────┘


Scanning 1 file (only git-tracked) with 1 Code rule:

  CODE RULES
  Scanning 1 file.

  PROGRESS

  ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 100% 0:00:00


┌────────────────┐
│ 1 Code Finding │
└────────────────┘

    code/rust/main.rs
    ❯❯ rules.unwrapped-result
          Unwrap detected - potential panic risk

            9┆ let result = divide(10, 0).unwrap(); // Risky unwrap!



┌──────────────┐
│ Scan Summary │
└──────────────┘

Ran 1 rule on 1 file: 1 finding.

Para obter a saída SARIF:

❯ opengrep scan --sarif-output=sarif.json -f rules code
  ...
❯ cat sarif.json | jq
{
  "version": "2.1.0",
  "runs": [
    {
      "invocations": [
        {
          "executionSuccessful": true,
          "toolExecutionNotifications": []
        }
      ],
      "results": [
        {
          "fingerprints": {
            "matchBasedId/v1": "a0ff5ed82149206a74ee7146b075c8cb9e79c4baf86ff4f8f1c21abea6ced504e3d33bb15a7e7dfa979230256603a379edee524cf6a5fd000bc0ab29043721d8_0"
          },
          "locations": [
            {
              "physicalLocation": {
                "artifactLocation": {
                  "uri": "code/rust/main.rs",
                  "uriBaseId": "%SRCROOT%"
                },
                "region": {
                  "endColumn": 40,
                  "endLine": 9,
                  "snippet": {
                    "text": "    let result = divide(10, 0).unwrap(); // Risky unwrap!"
                  },
                  "startColumn": 18,
                  "startLine": 9
                }
              }
            }
          ],
          "message": {
            "text": "Unwrap detected - potential panic risk"
          },
          "properties": {},
          "ruleId": "rules.unwrapped-result"
        }
      ],
      "tool": {
        "driver": {
          "name": "Opengrep OSS",
          "rules": [
            {
              "defaultConfiguration": {
                "level": "warning"
              },
              "fullDescription": {
                "text": "Unwrap detected - potential panic risk"
              },
              "help": {
                "markdown": "Unwrap detected - potential panic risk",
                "text": "Unwrap detected - potential panic risk"
              },
              "id": "rules.unwrapped-result",
              "name": "rules.unwrapped-result",
              "properties": {
                "precision": "very-high",
                "tags": []
              },
              "shortDescription": {
                "text": "Opengrep Finding: rules.unwrapped-result"
              }
            }
          ],
          "semanticVersion": "1.100.0"
        }
      }
    }
  ],
  "$schema": "https://docs.oasis-open.org/sarif/sarif/v2.1.0/os/schemas/sarif-schema-2.1.0.json"
}

Arquivo de log