Trail of Bits 公开 Semgrep 规则

此仓库包含由 Trail of Bits 开发并向公众提供的 Semgrep 规则。它们是我们持续开发工作的一部分，并用于我们的安全审计、漏洞研究和内部项目。随着我们发现新技术，它们将不断演变。

如需 Semgrep 指导，请访问 Testing Handbook。

使用 Semgrep

运行这些规则最简单的方式是从 Semgrep 注册表运行它们。为此，请导航到项目的根目录并运行以下命令：```shell $ semgrep --config "p/trailofbits"

或者，您可以克隆此仓库，导航到项目的根文件夹，并使用以下命令单独运行规则：```shell
$ semgrep --config /path/to/semgrep-rules/semgreprule.yml

要从克隆的仓库运行所有规则：```shell $ semgrep --config /path/to/semgrep-rules/ .

## 实用标志

Semgrep 将针对所有受支持的代码文件运行，但 `.gitignore` 文件中指定的文件除外。如果你希望对包括 `.gitignore` 中列出的文件和目录在内的所有文件和目录运行规则，请添加 `--no-git-ignore` 标志。```shell
$ semgrep --config /path/to/semgrep-rules/ . --no-git-ignore

你也可以让 Semgrep 忽略匹配任何模式的文件和目录。例如，如果你想告诉 Semgrep 忽略所有 Go 测试文件，可以运行以下命令：```shell $ semgrep --config /path/to/semgrep-rules/ . --exclude='*_test.go'

使用 `-o` 将结果输出到文件:```shell
$ semgrep --config /path/to/semgrep-rules/hanging-goroutine.yml -o leaks.txt'

ID	Playground	Impact	Confidence	描述
eth-rpc-tracetransaction	🛝🔗	🟥	🌕	检测从 EVM 交易或区块中提取跟踪信息的尝试。在交易所或桥接应用中，必须实现额外的逻辑来封装这些端点，以防止回滚调用帧期间转移的值被计入。
eth-txreceipt-status	🛝🔗	🟥	🌕	检测读取交易回执状态的情况
hanging-goroutine	🛝🔗	🟩	🌗	Goroutine 泄漏
invalid-usage-of-modified-variable	🛝🔗	🟧	🌘	发生错误时可能出现非预期的赋值
iterate-over-empty-map	🛝🔗	🟩	🌗	可能是在对空 map 进行冗余迭代
missing-runlock-on-rwmutex	🛝🔗	🟧	🌗	在函数返回前缺少对 `RWMutex` 锁的 `RUnlock` 操作

ID	Playground	Impact	Confidence	描述
automatic-memory-pinning	🛝🔗	🟩	🌘	`PyTorch` 内存未自动固定
lxml-in-pandas	🛝🔗	🟧	🌘	在 pandas 中加载 `lxml` 可能导致 XXE 攻击
msgpack-numpy	🛝🔗	🟥	🌗	依赖 pickle 的函数可能导致任意代码执行
numpy-distutils	🛝🔗	🟩	🌘	使用了已弃用的 `numpy.distutils`
numpy-f2py-compile	🛝🔗	🟥	🌗	`NumPy` `f2py` 编译可能导致任意代码执行
numpy-in-pytorch-datasets	🛝🔗	🟩	🌘

ID	Playground	Impact	Confidence	描述
schema-directives	🛝🔗	🟥	🌗	使用了过时的 ApolloServer 选项 'schemaDirectives'
use-of-graphql-upload	🛝🔗	🟧	🌕	使用了 graphql-upload 库
v3-potentially-bad-cors	🛝🔗	🟧	🌕	可能存在问题的 CORS 策略
v3-express-bad-cors	🛝🔗	🟥	🌗	存在问题的 CORS 策略
v3-express-no-cors	🛝🔗	🟩	🌘	缺少 CORS 策略
v3-bad-cors	🛝🔗	🟥	🌗	存在问题的 CORS 策略

ID	Playground	Impact	Confidence
action-dispatch-insecure-ssl	🛝🔗	🟥	🌘
action-mailer-insecure-tls	🛝🔗	🟥	🌘
active-record-encrypts-misorder	🛝🔗	🟥	🌘
active-record-hardcoded-encryption-key	🛝🔗	🟥	🌘
faraday-disable-verification	🛝🔗	🟥	🌘
global-timeout	🛝🔗	🟩	🌘
insecure-rails-cookie-session-store

ID	Playground	Impact	Confidence
docker-hardcoded-password	🛝🔗	🟥	🌘
docker-privileged-mode	🛝🔗	🟩	🌘
podman-tls-verify-disabled	🛝🔗	🟩	🌘
root-user	🛝🔗	🟩	🌘
tls-hostname-verification-disabled	🛝🔗	🟥	🌘
aws-oidc-role-policy-duplicate-condition	🛝🔗	🟥	🌘
aws-oidc-role-policy-missing-sub

semgrep-rules

最受欢迎

go

python

rs

javascript

ruby

hcl

jvm

yaml| ID | 演练场 | 影响 | 置信度 | 描述 |

generic

swift

贡献

许可证

ID	Playground	Impact	Confidence	描述
gc-call	🛝🔗	🟩	🌘
mongo-hostname-verification-disabled	🛝🔗	🟥	🌘

ID	演练场	影响	置信度
amqp-unencrypted-transport	🛝🔗	🟥	🌘
container-privileged	🛝🔗	🟥	🌗
container-user-root	🛝🔗	🟥	🌗
curl-insecure	🛝🔗	🟥	🌗
curl-unencrypted-url	🛝🔗	🟥	🌗
gpg-insecure-flags	🛝🔗	🟥	🌗
installer-allow-untrusted	🛝🔗