Публичные Semgrep-правила Trail of Bits

Этот репозиторий содержит Semgrep-правила, разработанные Trail of Bits и предоставленные общественности. Они являются частью наших текущих разработок и используются в наших аудитах безопасности, исследовании уязвимостей и внутренних проектах. Они будут развиваться со временем по мере выявления новых техник.

Посетите Testing Handbook для получения рекомендаций по Semgrep.

Использование Semgrep

Самый простой способ запустить правила — запустить их из реестра Semgrep. Для этого перейдите в корневую папку вашего проекта и выполните следующее:```shell $ semgrep --config "p/trailofbits"

В качестве альтернативы вы можете клонировать этот репозиторий, перейти в корневую папку вашего проекта и запускать отдельные правила с помощью команды ниже :```shell
$ semgrep --config /path/to/semgrep-rules/semgreprule.yml

Чтобы запустить все правила из клонированного репозитория:```shell $ semgrep --config /path/to/semgrep-rules/ .

## Полезные флаги

Semgrep будет запускаться для всех поддерживаемых файлов кода, кроме тех, что указаны в вашем файле `.gitignore`. Если вы хотите запускать правила для всех файлов и директорий, включая указанные в `.gitignore`, добавьте флаг `--no-git-ignore`.```shell
$ semgrep --config /path/to/semgrep-rules/ . --no-git-ignore

ID	Песочница	Влияние	Уверенность	Описание
eth-rpc-tracetransaction	🛝🔗	🟥	🌕	Обнаруживает попытки извлечения трассировочной информации из EVM-транзакции или блока. В обменных или мостовых приложениях необходимо реализовать дополнительную логику, оборачивающую эти конечные точки, чтобы предотвратить учёт значений, переданных во время отменённых кадров вызовов.
eth-txreceipt-status	🛝🔗	🟥	🌕	Обнаруживает, когда читается статус квитанции транзакции
hanging-goroutine	🛝🔗	🟩	🌗	Утечки горутин
invalid-usage-of-modified-variable	🛝🔗	🟧	🌘	Возможное непреднамеренное присваивание при возникновении ошибки
iterate-over-empty-map	🛝🔗	🟩	🌗	Вероятно, избыточная итерация по пустой карте
missing-runlock-on-rwmutex

ID	Песочница	Влияние	Уверенность	Описание
automatic-memory-pinning	🛝🔗	🟩	🌘	Память `PyTorch` не закрепляется автоматически
lxml-in-pandas	🛝🔗	🟧	🌘	Потенциальные XXE-атаки при загрузке `lxml` в pandas
msgpack-numpy	🛝🔗	🟥	🌗	Потенциальное выполнение произвольного кода из функций, полагающихся на пиклинг
numpy-distutils	🛝🔗	🟩	🌘	Использование устаревшего `numpy.distutils`
numpy-f2py-compile	🛝🔗	🟥	🌗	Потенциальное выполнение произвольного кода при компиляции с помощью `NumPy` `f2py`
numpy-in-pytorch-datasets	🛝🔗

ID	Песочница	Влияние	Уверенность	Описание
schema-directives	🛝🔗	🟥	🌗	Использование устаревшей опции ApolloServer 'schemaDirectives'
use-of-graphql-upload	🛝🔗	🟧	🌕	Использование библиотеки graphql-upload
v3-potentially-bad-cors	🛝🔗	🟧	🌕	Потенциально небезопасная политика CORS
v3-express-bad-cors	🛝🔗	🟥	🌗	Небезопасная политика CORS
v3-express-no-cors	🛝🔗	🟩	🌘	Отсутствие политики CORS
v3-bad-cors	🛝🔗	🟥

ID	Песочница	Влияние	Уверенность
action-dispatch-insecure-ssl	🛝🔗	🟥	🌘
action-mailer-insecure-tls	🛝🔗	🟥	🌘
active-record-encrypts-misorder	🛝🔗	🟥	🌘
active-record-hardcoded-encryption-key	🛝🔗	🟥	🌘
faraday-disable-verification	🛝🔗	🟥	🌘
global-timeout	🛝🔗	🟩	🌘
insecure-rails-cookie-session-store

ID	Песочница	Влияние	Уверенность
docker-hardcoded-password	🛝🔗	🟥	🌘
docker-privileged-mode	🛝🔗	🟩	🌘
podman-tls-verify-disabled	🛝🔗	🟩	🌘
root-user	🛝🔗	🟩	🌘
tls-hostname-verification-disabled	🛝🔗	🟥	🌘
aws-oidc-role-policy-duplicate-condition	🛝🔗	🟥	🌘
aws-oidc-role-policy-missing-sub

semgrep-rules

Популярное

Правила

go

python

rs

javascript

ruby

hcl

jvm

yaml

generic

swift

Участие

Лицензирование

ID	Песочница	Влияние	Уверенность	Описание
gc-call	🛝🔗	🟩	🌘
mongo-hostname-verification-disabled	🛝🔗	🟥	🌘

ID	Песочница	Влияние	Уверенность
amqp-unencrypted-transport	🛝🔗	🟥	🌘
container-privileged	🛝🔗	🟥	🌗
container-user-root	🛝🔗	🟥	🌗
curl-insecure	🛝🔗	🟥	🌗
curl-unencrypted-url	🛝🔗	🟥	🌗
gpg-insecure-flags	🛝🔗	🟥	🌗
installer-allow-untrusted	🛝🔗