Bài viết này sẽ chứa một danh sách các công cụ phổ biến để phân tích mã tĩnh. Độc giả sẽ làm quen với các tính chất phân biệt của họ và các tính năng hữu ích.
Khi một người cần một công cụ để phân tích mã tĩnh, lần đầu tiên anh ta nhớ các giải pháp thương mại như tăng cường hoặc veracode. Thế còn các chương trình miễn phí? Các công cụ trả phí quá đắt đối với các công ty nhỏ hoặc các chuyên gia bảo mật tự do. Vì lý do này, bài viết này đã được tập hợp một danh sách các chương trình miễn phí phổ biến thực hiện phân tích mã tĩnh.
Brakeman.
- Chủ đề phân tích: Ruby.
- Các thành phần bắt buộc: Ruby và Gem. Cài đặt các thành phần bằng cách sử dụng lệnh "GEM cài đặt Brakeman".
- Cách sử dụng Công cụ: Đội "Ứng dụng Brakeman_Path".
- Nhận xét: Đây là chương trình tốt nhất cho phân tích mã Ruby tĩnh. Nó tập trung vào phân tích các ứng dụng "trên đường ray" được gọi là ".
- Chủ đề phân tích: Nodejs.
- Các thành phần bắt buộc: Chỉ cần Python cho công cụ.
- Cách sử dụng công cụ: lệnh "python nodejsscan.py -d".
- Nhận xét: Máy quét này xác định nhiều tích cực sai. Nó nhận được cập nhật định kỳ từ các nhà phát triển.
- Phân tích: PHP.
- Các thành phần bắt buộc: Chỉ cần PHP cho công cụ.
- Cách sử dụng Công cụ: Rips là một ứng dụng web được viết bằng PHP. Người dùng cần cài đặt Apache HTTP và chạy chương trình.
- Nhận xét: Đây là một máy quét tuyệt vời. Anh ấy có thể phát hiện nhiều vấn đề có thể xảy ra. Thật không may, phiên bản mới của anh ấy không miễn phí, vì vậy nếu bạn muốn sử dụng chương trình này, một người sẽ phải mua phiên bản trả phí của nó.
- Chủ đề phân tích: Java.
- Các thành phần cần thiết: Java SE là cần thiết cho công cụ.
- Cách sử dụng Công cụ: Bạn cần mở ứng dụng JAR và chọn thư mục để phân tích mã nguồn.
- Nhận xét: FindBugs là một máy quét đa năng. Nó có thể phát hiện các lỗi và thiếu sót khác nhau trong mã. Đặc biệt, chương trình có một mô-đun bảo mật tích hợp, có thể tìm thấy các vấn đề liên quan đến lỗ hổng, chẳng hạn như khả năng các cuộc tấn công XSS và SQLI.
- Chủ đề phân tích: .NET.
- Các thành phần bắt buộc: Bạn cần .NET Tool.
- Cách sử dụng một công cụ: Một người mở ứng dụng và chọn các tệp exe hoặc dll.
- Nhận xét: Đây là một máy quét tốt, anh ta có thể phát hiện hầu hết các lỗ hổng. Chương trình sẽ phân tích các tệp được biên dịch. Nếu người dùng đã có mã, anh ta sẽ cần phải biên dịch nó.
- Chủ đề phân tích: JavaScript.
- Các thành phần bắt buộc: Bạn cần .nodejs cho công cụ. Để cài đặt nó, người dùng nhập lệnh cài đặt NPM -G JSHint.
- Cách sử dụng một công cụ: lệnh "jshint application_path".
- Nhận xét: Máy quét phát hiện nhiều lỗi. Anh ta có thể tìm thấy một "mã xấu", thường chịu trách nhiệm về công việc bị lỗi hoặc phản hồi sai (LOL).
- Chủ đề phân tích: C #.
- Các thành phần bắt buộc: Bạn cần .NET Tool.
- Cách sử dụng Công cụ: Người dùng sẽ mở thư mục ứng dụng với mã nguồn.
- Nhận xét: Máy quét phát hiện rất nhiều dương tính giả.
- Chủ đề phân tích: NET, Java, C / C ++, HTML, JavaScript, ASP, ColdFucion, PHP, COBOL.
- Các thành phần cần thiết: MSI là cần thiết cho công cụ.
- Cách sử dụng Công cụ: Đội "Yasca.exe Application_Path".
- Nhận xét: Đây là một máy quét đa ngôn ngữ. Nó phát hiện một số lượng lớn dương tính giả, và cũng có thể tìm thấy sự không chính xác trong mã.
- Chủ đề phân tích: C ++, C #, VB, PHP, Java và PL / SQL.
- Các thành phần cần thiết: MSI là cần thiết cho công cụ.
- Cách sử dụng Công cụ: Người dùng sẽ mở ứng dụng và chọn mã nguồn.
- Nhận xét: Đây là một máy quét đa ngôn ngữ. Anh ta có thể phát hiện rất nhiều dương tính giả, nhưng ít hơn so với cùng một yasca.
- Chủ đề phân tích: ASP, JSP, Perl, PHP, Python.
- Các thành phần bắt buộc: Không có gì cần thiết - người dùng tải xuống ứng dụng và bắt đầu quét.
- Cách sử dụng Công cụ: Lệnh Graudit Application_Path.
- Nhận xét: Máy quét này sử dụng cơ sở dữ liệu dựa trên các biểu thức thông thường. Ưu điểm lớn nhất của nó là ứng dụng có thể dễ dàng cấu hình để tìm kiếm các sự cố tùy chỉnh. Sử dụng cơ sở dữ liệu mặc định hiện có, người dùng sẽ phát hiện nhiều dương tính giả, mặc dù một số vấn đề thực sự không thể được phát hiện.
- Chủ đề phân tích: C, C #, PHP, Java, Ruby, ASP, JavaScript.
- Các thành phần cần thiết: Người dùng tải xuống chương trình và biên dịch mã.
- Cách sử dụng một công cụ: Một người mở ứng dụng và chọn mã nguồn.
- Nhận xét: Giống như Rips, trình quét này là một ứng dụng web. Tuy nhiên, người dùng không cần Apache, nó đủ để chạy trình quét và trình duyệt sẽ tự động mở. Sau đó, người chọn mã nguồn. Chương trình có thể phát hiện nhiều vấn đề và dương tính giả.
Tác giả của bài viết dịch: Maxpower.
Tài liệu thú vị hơn trên Cisoclub.ru. Theo dõi chúng tôi: Facebook | Vk |. Twitter |. Instagram |. Telegram |. Zen |. Messenger |. ICQ mới |. YouTube |. Xung.