{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Hvordan man bruger et simpelt v\u00e6rkt\u00f8j til at finde s\u00e5rbarheder i kildekoden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit underst\u00f8tter mange programmeringssprog og muligg\u00f8r integration af sikkerhedstest af kodebasen direkte i udviklingsprocessen.<\/p>\n

\"Hvordan
\nKilde: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Testning er en vigtig del af softwareudviklings livscyklus. Der findes mange forskellige typer testning, og hver af dem l\u00f8ser sin opgave. I dag vil jeg tale om at finde sikkerhedsproblemer i koden.<\/p>\n

Det er tydeligt, at det i nutidens softwareudviklingsrealiteter er vigtigt at sikre processerne. Der blev engang indf\u00f8rt et s\u00e6rligt begreb, DevSecOps. Under dette begreb forst\u00e5s en r\u00e6kke procedurer, der er rettet mod at identificere og eliminere s\u00e5rbarheder i applikationen. Der findes specialiserede open source-l\u00f8sninger til at kontrollere s\u00e5rbarheder i overensstemmelse med standarderne OWASP<\/a><\/noindex>, som beskriver forskellige typer og adf\u00e6rd af s\u00e5rbarheder i kildekoden.
\n<\/a><\/noindex><\/p>\n

Der findes forskellige tilgange til at h\u00e5ndtere sikkerhedsproblemer, s\u00e5som statisk sikkerhedstest af applikationer (SAST), dynamisk sikkerhedstest af applikationer (DAST), interaktiv sikkerhedstest af applikationer (IAST), softwarekomponentanalyse (Software Composition Analysis) og s\u00e5 videre.<\/p>\n

Statisk sikkerhedstest af applikationer identificerer fejl i allerede skrevet kode. Denne tilgang kr\u00e6ver ikke, at applikationen k\u00f8res, derfor kaldes det statisk analyse.<\/p>\n

Jeg vil fokusere p\u00e5 statisk kodeanalyse og bruge et enkelt open source-v\u00e6rkt\u00f8j for at demonstrere det hele i praksis.<\/p>\n

Hvorfor jeg valgte et open source-v\u00e6rkt\u00f8j til statisk sikkerhedsanalyse af kode<\/h2>\n

\nDer er en r\u00e6kke grunde til det: for det f\u00f8rste er det gratis, da du bruger et v\u00e6rkt\u00f8j udviklet af et f\u00e6llesskab af ligesindede, der \u00f8nsker at hj\u00e6lpe andre udviklere. Hvis du har et lille team eller en startup, har du en fremragende mulighed for at spare penge ved at bruge open source-software til at kontrollere sikkerheden i din kodebase. For det andet slipper det dig for at ans\u00e6tte et separat DevSecOps-team, hvilket yderligere reducerer dine omkostninger.<\/p>\n

Gode open source v\u00e6rkt\u00f8jer er altid skabt med h\u00f8je krav til fleksibilitet for \u00f8je. Derfor kan de anvendes i n\u00e6sten enhver kontekst og d\u00e6kker et bredt spektrum af opgaver. Det er meget lettere for udviklere at integrere s\u00e5danne v\u00e6rkt\u00f8jer med det system, de allerede har bygget, mens de arbejder p\u00e5 deres projekter.<\/p>\n

Men der kan opst\u00e5 situationer, hvor du f\u00e5r brug for en funktion, der ikke findes i det valgte v\u00e6rkt\u00f8j. I dette tilf\u00e6lde har du mulighed for at forgrene dets kode og udvikle dit eget v\u00e6rkt\u00f8j med den \u00f8nskede funktionalitet.<\/p>\n

Da udviklingen af software med \u00e5ben kilde i de fleste tilf\u00e6lde aktivt p\u00e5virkes af f\u00e6llesskabet, tr\u00e6ffes beslutningen om at foretage \u00e6ndringer ret hurtigt og sagligt: udviklerne af open source-projektet lytter til brugernes feedback og forslag samt deres indberetninger om fundne fejl og andre problemer.<\/p>\n

Brug af Graudit til at analysere sikkerheden af koden<\/h2>\n

\nTil statisk kodeanalyse kan forskellige open source v\u00e6rkt\u00f8jer anvendes; der findes ikke \u00e9t universelt v\u00e6rkt\u00f8j til alle programmeringssprog. Udviklerne af nogle af dem f\u00f8lger OWASP-rekommandationer og fors\u00f8ger at d\u00e6kke s\u00e5 mange sprog som muligt.<\/p>\n

Her vil vi bruge Graudit<\/a><\/noindex>, et simpelt kommandolinjev\u00e6rkt\u00f8j, der g\u00f8r det muligt for os at finde s\u00e5rbarheder i vores kodebase. Det underst\u00f8tter forskellige sprog, men antallet er dog begr\u00e6nset. Graudit er udviklet p\u00e5 baggrund af det nyttige v\u00e6rkt\u00f8j grep, som engang blev frigivet under GNU-licensen.<\/p>\n

Der findes lignende v\u00e6rkt\u00f8jer til statisk kodeanalyse - Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder og s\u00e5 videre. Men Graudit er meget fleksibel og har minimale tekniske krav. Ikke desto mindre kan der v\u00e6re situationer, hvor Graudit ikke er i stand til at l\u00f8se dine opgaver. S\u00e5 kan du finde andre muligheder her i denne liste<\/a><\/noindex>.<\/p>\n

Vi kan integrere dette v\u00e6rkt\u00f8j i et specifikt projekt, g\u00f8re det tilg\u00e6ngeligt for en udvalgt bruger, eller bruge det samtidig i alle vores projekter. Her viser Graudit ogs\u00e5 sin fleksibilitet. S\u00e5 lad os f\u00f8rst klone repoet:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nLad os nu oprette et symbolsk link til Graudit, s\u00e5 vi kan bruge det i kommandolinjeformat.<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolic ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nLad os tilf\u00f8je et alias i .bashrc (eller en anden konfigurationsfil, som du bruger):<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nGenstarter:<\/p>\n
$ source ~\/ .bashrc # ELLER\n$ exec $SHELL\n<\/code><\/pre>\n
\nLad os tjekke, om installationen var succesfuld:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Hvis du ser noget, der ligner dette, er alt i orden.<\/p>\n
\"Hvordan
\n
\nJeg vil teste et af mine eksisterende projekter. F\u00f8r jeg starter v\u00e6rkt\u00f8jet, skal jeg angive den database, der svarer til det programmeringssprog, mit projekt er skrevet p\u00e5. Databaserne findes i mappen ~\/gradit\/signatures:<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nS\u00e5 jeg har testet to js-filer fra mit projekt, og Graudit har vist information om s\u00e5rbarhederne i min kode i konsollen:<\/p>\n
\"Hvordan
\n
\n\"Hvordan
\n
\nDu kan p\u00e5 samme m\u00e5de teste dine projekter. Du kan se listen over databaser for forskellige programmeringssprog. her<\/a><\/noindex>.<\/p>\n
Fordele og ulemper ved Graudit<\/h2>\n
\nGraudit underst\u00f8tter mange programmeringssprog. Derfor er det velegnet til en bred vifte af brugere. Det kan konkurrere v\u00e6rdigt med enhver gratis eller betalt alternativ. Det er ogs\u00e5 meget vigtigt, at projektet stadig modtager opdateringer, og at f\u00e6llesskabet ikke kun hj\u00e6lper udviklerne, men ogs\u00e5 andre brugere, der fors\u00f8ger at forst\u00e5 v\u00e6rkt\u00f8jet.<\/p>\n
Det er et nyttigt v\u00e6rkt\u00f8j, men indtil videre kan det ikke altid pr\u00e6cist angive, hvad problemet er, n\u00e5r det drejer sig om en mist\u00e6nkelig del af koden. Udviklerne forts\u00e6tter med at forbedre Graudit. <\/p>\n
Men i alle tilf\u00e6lde er det nyttigt at v\u00e6re opm\u00e6rksom p\u00e5 potentielle sikkerhedsproblemer i koden ved at bruge s\u00e5danne v\u00e6rkt\u00f8jer.<\/p>\n
Start\u2026<\/h2>\n
\nI denne artikel har jeg kun set p\u00e5 en af mange m\u00e5der at finde s\u00e5rbarheder \u2013 statisk sikkerhedstestning af applikationer. Det er nemt at udf\u00f8re en statisk kodeanalyse, men det er kun begyndelsen. For at l\u00e6re mere om sikkerheden i din kodebase skal du integrere andre typer test i softwareudviklingslivscyklussen.<\/p>\n
<\/p>\n
Annoncering<\/h4>\n
\nP\u00e5lidelig VPS<\/a><\/noindex> og det rigtige valg af abonnement g\u00f8r, at du kan fokusere mindre p\u00e5 ubehagelige problemer under udviklingen \u2013 alt vil fungere uden problemer og med meget h\u00f8j oppetid!<\/p>\n
\"Hvordan<\/a><\/noindex>
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 S\u00e5dan bruger du et simpelt v\u00e6rkt\u00f8j til at finde s\u00e5rbarheder i programkode | ProHoster","description":"Graudit underst\u00f8tter mange programmeringssprog og muligg\u00f8r integration af sikkerhedstest af kodebasen direkte i udviklingsprocessen.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}