Sucosh Scanny

"Sucosh" 是一个自动化源代码漏洞扫描器（SAST）和评估框架，适用于 Python（Flask-Django）和 NodeJs，能够在 Web 应用程序开发或源代码分析过程中进行代码审查。它可以检测给定源代码中的大量漏洞（RCE、SSTI、不安全的反序列化、SSRF、SQLI、CSRF 等）。目前只完成了 Python（Flask、Django）和 NodeJs（Express JS.）语言的检测模块。未来将会为 PHP（Laravel、Codeigniter）、.NET、Go 和其他语言编写特定的检测函数。

示例用法

• 扫描源代码分析 例如：python3 sucosh.py -p <输入代码路径>

截图

扫描

Python

• Flask
• Django

Node Js.

• Express JS.

其他语言和框架

• 将会很快更新

RCE

• 查找危险函数
• 查找缓解函数
• 追踪输入

LFI

• 查找危险函数
• 追踪输入

SSTI

• 查找危险函数
• 追踪输入

SSRF

• 查找危险函数
• 追踪输入

CSRF

• 检查 HTML 表单中的 CSRF 令牌

密钥检测

• 检查密钥数据（AWS 密钥等）

SQLI

• 查找 SQL 结构中的字符串拼接
• 查找源代码中的输入

CVE

• 检查易受攻击的依赖项

XSS

反射型

• 查找 SQL 结构中的字符串拼接
• 查找所有编程语言中的输入

存储型

• 查找所有编程语言中的危险函数
• 查找所有编程语言中的输入
• 查找所有编程语言中的缓解函数

DOM型

• 查找 DOM 和所有编程语言中的危险函数
• 查找所有编程语言中的 DOM 缓解函数
• 查找所有编程语言中的 DOM 输入
• 查找易受攻击的 Jquery 版本

自定义规则集

• 使用 YAML 的规则集集成

Web 功能

面向开发团队的任务

• 管理仪表板和开发者仪表板
• 所有漏洞严重性图表
• 漏洞列表
• Github 或 Gitlab API 密钥集成

贡献者 ✨

感谢这些出色的人：