{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Wie man ein einfaches Tool zur Suche nach Sicherheitsanf\u00e4lligkeiten im Quellcode verwendet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit unterst\u00fctzt zahlreiche Programmiersprachen und erm\u00f6glicht die Integration von Sicherheitstests in den Entwicklungsprozess.<\/p>\n

\"Wie
\nQuelle: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Tests sind ein wichtiger Teil des Lebenszyklus der Softwareentwicklung. Es gibt viele verschiedene Testarten, die jeweils ihre eigenen Aufgaben l\u00f6sen. Heute m\u00f6chte ich \u00fcber die Suche nach Sicherheitsproblemen im Code sprechen.<\/p>\n

Es ist offensichtlich, dass es in der heutigen Softwareentwicklung wichtig ist, die Sicherheit der Prozesse zu gew\u00e4hrleisten. Zu einem bestimmten Zeitpunkt wurde sogar der spezielle Begriff DevSecOps eingef\u00fchrt. Unter diesem Begriff versteht man eine Reihe von Verfahren, die darauf abzielen, Sicherheitsanf\u00e4lligkeiten in Anwendungen zu identifizieren und zu beseitigen. Es gibt spezialisierte Open-Source-L\u00f6sungen zur Sicherheits\u00fcberpr\u00fcfung, die den Standards entsprechen OWASP<\/a><\/noindex>, die verschiedene Typen und Verhaltensweisen von Sicherheitsanf\u00e4lligkeiten im Quellcode beschreiben.
\n<\/a><\/noindex><\/p>\n

Es gibt verschiedene Ans\u00e4tze zur L\u00f6sung von Sicherheitsproblemen, wie z.B. statisches Sicherheitstests (SAST), dynamisches Sicherheitstests (DAST), interaktives Sicherheitstests (IAST), Software-Zusammensetzungsanalyse und so weiter.<\/p>\n

Statische Sicherheitstests identifizieren Fehler im bereits geschriebenen Code. Dieser Ansatz erfordert kein Ausf\u00fchren der Anwendung, weshalb er als statische Analyse bezeichnet wird.<\/p>\n

Ich werde mich auf die statische Code-Analyse konzentrieren und ein einfaches Open-Source-Tool verwenden, um alles praktisch zu demonstrieren.<\/p>\n

Warum ich ein Open-Source-Tool f\u00fcr die statische Sicherheitsanalyse von Code gew\u00e4hlt habe<\/h2>\n

\nEs gibt mehrere Gr\u00fcnde: Erstens, es ist kostenlos, da Sie ein von einer Gemeinschaft von Gleichgesinnten entwickeltes Tool verwenden, das anderen Entwicklern helfen m\u00f6chte. Wenn Sie ein kleines Team oder ein Startup haben, haben Sie eine hervorragende M\u00f6glichkeit, Kosten zu sparen, indem Sie Open-Source-Software zur Sicherheitspr\u00fcfung Ihrer Codebasis nutzen. Zweitens, es erspart Ihnen die Notwendigkeit, ein separates DevSecOps-Team einzustellen, was Ihre Kosten weiter senkt.<\/p>\n

Gute Open-Source-Tools werden stets mit erh\u00f6hten Anforderungen an die Flexibilit\u00e4t entwickelt. Deshalb k\u00f6nnen sie praktisch in jeder Umgebung eingesetzt werden und decken ein breites Spektrum an Aufgaben ab. Entwicklern f\u00e4llt es viel leichter, solche Tools mit dem System zu integrieren, das sie bereits aufgebaut haben, w\u00e4hrend sie an ihren Projekten arbeiten.<\/p>\n

Es kann aber Situationen geben, in denen Sie eine Funktion ben\u00f6tigen, die in dem von Ihnen gew\u00e4hlten Tool nicht vorhanden ist. In diesem Fall haben Sie die M\u00f6glichkeit, den Code zu forken und auf dessen Basis Ihr eigenes Tool mit der ben\u00f6tigten Funktionalit\u00e4t zu entwickeln.<\/p>\n

Da in den meisten F\u00e4llen die Entwicklung von Software mit offenem Quellcode aktiv von der Community beeinflusst wird, werden Entscheidungen \u00fcber \u00c4nderungen relativ schnell und sachgerecht getroffen: Die Entwickler des Open-Source-Projekts st\u00fctzen sich auf das Feedback und die Vorschl\u00e4ge der Benutzer sowie deren Meldungen \u00fcber gefundene Fehler und andere Probleme.<\/p>\n

Verwendung von Graudit zur Sicherheitsanalyse von Code<\/h2>\n

\nF\u00fcr die statische Codeanalyse k\u00f6nnen verschiedene Open-Source-Tools verwendet werden; es gibt kein universelles Tool f\u00fcr alle Programmiersprachen. Einige Entwickler orientieren sich an den Empfehlungen von OWASP und versuchen, so viele Sprachen wie m\u00f6glich abzudecken.<\/p>\n

Hier werden wir Graudit<\/a><\/noindex>, ein einfaches Kommandozeilen-Tool, verwenden, das uns hilft, Schwachstellen in unserem Code zu finden. Es unterst\u00fctzt verschiedene Sprachen, jedoch ist die Auswahl begrenzt. Graudit basiert auf dem Dienstprogramm grep, das urspr\u00fcnglich unter der GNU-Lizenz ver\u00f6ffentlicht wurde.<\/p>\n

Es gibt \u00e4hnliche Tools zur statischen Codeanalyse \u2013 Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder usw. Aber Graudit ist sehr flexibel und hat minimale technische Anforderungen. Dennoch kann es Aufgaben geben, die Graudit nicht bew\u00e4ltigen kann. Dann k\u00f6nnen Sie nach anderen Optionen suchen, wie zum Beispiel in dieser Liste.<\/a><\/noindex>.<\/p>\n

Wir k\u00f6nnen dieses Tool in ein bestimmtes Projekt integrieren, es einem gew\u00e4hlten Benutzer zur Verf\u00fcgung stellen oder es gleichzeitig in all unseren Projekten verwenden. Auch hierin zeigt sich die Flexibilit\u00e4t von Graudit. Lassen Sie uns zun\u00e4chst das Repository klonen:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nLass uns jetzt einen symbolischen Link f\u00fcr Graudit erstellen, um ihn im Befehlsformat zu verwenden<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolisch ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nF\u00fcgen wir einen Alias in die .bashrc (oder in eine andere Konfigurationsdatei, die du verwendest) hinzu:<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nLass uns neu starten:<\/p>\n
$ source ~\/.bashrc # ODER\n$ exec $SHELL\n<\/code><\/pre>\n
\nLass uns \u00fcberpr\u00fcfen, ob die Installation erfolgreich war:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Wenn du etwas \u00c4hnliches siehst, ist alles in Ordnung.<\/p>\n
\"Wie
\n
\nIch werde eines meiner bereits bestehenden Projekte testen. Bevor ich das Tool starte, muss ich ihm die Datenbank \u00fcbergeben, die der Sprache entspricht, in der mein Projekt geschrieben ist. Die Datenbanken befinden sich im Ordner ~\/gradit\/signatures:<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nIch habe also zwei js-Dateien aus meinem Projekt getestet, und Graudit hat Informationen \u00fcber Schwachstellen in meinem Code in die Konsole ausgegeben:<\/p>\n
\"Wie
\n
\n\"Wie
\n
\nDu kannst deine Projekte auf die gleiche Weise testen. Eine Liste der Datenbanken f\u00fcr verschiedene Programmiersprachen findest du hier hier<\/a><\/noindex>.<\/p>\n
Vor- und Nachteile von Graudit<\/h2>\n
\nGraudit unterst\u00fctzt viele Programmiersprachen. Daher eignet es sich f\u00fcr eine breite Nutzerschaft. Es kann mit kostenlosen oder kostenpflichtigen Alternativen gut konkurrieren. Und es ist sehr wichtig, dass das Projekt weiterhin verbessert wird, und die Community hilft nicht nur den Entwicklern, sondern auch anderen Benutzern, die versuchen, das Tool zu verstehen.<\/p>\n
Es ist ein praktisches Tool, aber derzeit kann es nicht immer genau angeben, wo das Problem mit dem verd\u00e4chtigen Code liegt. Die Entwickler arbeiten weiterhin an der Verbesserung von Graudit. <\/p>\n
Aber es ist in jedem Fall n\u00fctzlich, auf potenzielle Sicherheitsprobleme im Code zu achten, indem man solche Tools verwendet.<\/p>\n
Anfang…<\/h2>\n
\nIn diesem Artikel habe ich nur eine der vielen Methoden zur Suche nach Schwachstellen behandelt \u2013 die statische Sicherheitstestung von Anwendungen. Eine statische Code-Analyse durchzuf\u00fchren ist einfach, aber das ist erst der Anfang. Um mehr \u00fcber die Sicherheit deiner Codebasis zu erfahren, musst du andere Arten von Tests in den Lebenszyklus der Softwareentwicklung integrieren.<\/p>\n
<\/p>\n
Als Werbung<\/h4>\n
\nZuverl\u00e4ssiger VPS<\/a><\/noindex> und die richtige Wahl des Tarifs wird helfen, Ablenkungen durch unangenehme Probleme zu minimieren \u2013 alles wird ohne Unterbrechungen funktionieren und mit einer sehr hohen Verf\u00fcgbarkeit!<\/p>\n
\"Wie<\/a><\/noindex>
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wie man ein einfaches Tool zur Suche nach Schwachstellen im Quellcode verwendet | ProHoster","description":"Graudit unterst\u00fctzt zahlreiche Programmiersprachen und erm\u00f6glicht die Integration von Sicherheitstests in den Entwicklungsprozess.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}