{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"C\u00f3mo utilizar una sencilla herramienta para buscar vulnerabilidades en el c\u00f3digo fuente","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit admite m\u00faltiples lenguajes de programaci\u00f3n y permite integrar pruebas de seguridad en la base de c\u00f3digo directamente en el proceso de desarrollo.<\/p>\n

\"C\u00f3mo
\nFuente: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Las pruebas son una parte importante del ciclo de vida del desarrollo de software. Existen muchos tipos de pruebas, cada una de ellas resuelve un problema espec\u00edfico. Hoy quiero hablar sobre la b\u00fasqueda de problemas de seguridad en el c\u00f3digo.<\/p>\n

Es evidente que, en la realidad actual del desarrollo de software, es importante garantizar la seguridad de los procesos. Hubo un tiempo en que se introdujo un t\u00e9rmino espec\u00edfico: DevSecOps. Este t\u00e9rmino se refiere a una serie de procedimientos destinados a identificar y solucionar vulnerabilidades en las aplicaciones. Existen soluciones especializadas de c\u00f3digo abierto para la verificaci\u00f3n de vulnerabilidades, de acuerdo con las normas OWASP<\/a><\/noindex>, que describen varios tipos y comportamientos de vulnerabilidades en el c\u00f3digo fuente.
\n<\/a><\/noindex><\/p>\n

Existen diferentes enfoques para resolver problemas de seguridad, como el an\u00e1lisis de seguridad est\u00e1tica de aplicaciones (SAST), el an\u00e1lisis de seguridad din\u00e1mica de aplicaciones (DAST), el an\u00e1lisis de seguridad interactiva de aplicaciones (IAST), el an\u00e1lisis de componentes del software (Software Composition Analysis), y as\u00ed sucesivamente.<\/p>\n

El an\u00e1lisis de seguridad est\u00e1tica de aplicaciones identifica errores en el c\u00f3digo ya escrito. Este enfoque no requiere la ejecuci\u00f3n de la aplicaci\u00f3n, por lo que se llama an\u00e1lisis est\u00e1tico.<\/p>\n

Me centrar\u00e9 en el an\u00e1lisis est\u00e1tico del c\u00f3digo y utilizar\u00e9 una simple herramienta de c\u00f3digo abierto para demostrar todo en la pr\u00e1ctica.<\/p>\n

Por qu\u00e9 eleg\u00ed una herramienta de c\u00f3digo abierto para el an\u00e1lisis de seguridad est\u00e1tica del c\u00f3digo<\/h2>\n

\nHay varias razones: en primer lugar, es gratuito, ya que utilizas una herramienta desarrollada por una comunidad de personas afines que quieren ayudar a otros desarrolladores. Si tienes un peque\u00f1o equipo o una startup, tienes una excelente oportunidad de ahorrar utilizando software de c\u00f3digo abierto para verificar la seguridad de tu base de c\u00f3digo. En segundo lugar, esto te libera de la necesidad de contratar un equipo separado de DevSecOps, lo que reduce a\u00fan m\u00e1s tus costos.<\/p>\n

Las buenas herramientas de c\u00f3digo abierto siempre se crean teniendo en cuenta altas exigencias de flexibilidad. Por lo tanto, se pueden utilizar pr\u00e1cticamente en cualquier entorno, abarcando una amplia gama de tareas. A los desarrolladores les resulta mucho m\u00e1s f\u00e1cil integrar estas herramientas con el sistema que ya han construido al trabajar en sus proyectos.<\/p>\n

Sin embargo, pueden surgir situaciones en las que necesite una funci\u00f3n que no est\u00e1 en la herramienta que ha elegido. En este caso, tiene la opci\u00f3n de bifurcar su c\u00f3digo y desarrollar su propia herramienta basada en \u00e9l con la funcionalidad que necesita.<\/p>\n

Dado que en la mayor\u00eda de los casos el desarrollo de software de c\u00f3digo abierto est\u00e1 influenciado activamente por la comunidad, las decisiones sobre los cambios se toman bastante r\u00e1pidamente y de manera fundamentada: los desarrolladores del proyecto de c\u00f3digo abierto se basan en los comentarios y sugerencias de los usuarios, as\u00ed como en sus reportes sobre errores y otros problemas.<\/p>\n

Uso de Graudit para el an\u00e1lisis de seguridad del c\u00f3digo<\/h2>\n

\nPara el an\u00e1lisis est\u00e1tico del c\u00f3digo se pueden utilizar diferentes herramientas de c\u00f3digo abierto; no existe una herramienta universal para todos los lenguajes de programaci\u00f3n. Algunos desarrolladores de estas herramientas siguen las recomendaciones de OWASP y tratan de abarcar la mayor cantidad de lenguajes posible.<\/p>\n

Aqu\u00ed utilizaremos Graudit<\/a><\/noindex>, una sencilla utilidad de l\u00ednea de comandos que nos permitir\u00e1 encontrar vulnerabilidades en nuestra base de c\u00f3digo. Soporta diferentes lenguajes, aunque su conjunto es limitado. Graudit se desarroll\u00f3 basado en la utilidad de grep, que en su tiempo fue liberada bajo licencia GNU.<\/p>\n

Existen herramientas similares para el an\u00e1lisis est\u00e1tico del c\u00f3digo: Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder, entre otras. Sin embargo, Graudit es muy flexible y tiene requisitos t\u00e9cnicos m\u00ednimos. Aun as\u00ed, puede haber tareas que Graudit no pueda resolver, en cuyo caso puede buscar otras opciones en esta lista<\/a><\/noindex>.<\/p>\n

Podemos integrar esta herramienta en un proyecto espec\u00edfico, o ponerla a disposici\u00f3n de un usuario elegido, o bien, usarla simult\u00e1neamente en todos nuestros proyectos. Aqu\u00ed tambi\u00e9n se manifiesta la flexibilidad de Graudit. As\u00ed que, primero clonemos el repositorio:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nAhora vamos a crear un enlace simb\u00f3lico para Graudit, para usarlo en formato de comando<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolic ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nAgreguemos un alias en .bashrc (o en otro archivo de configuraci\u00f3n que est\u00e9s utilizando):<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nReiniciemos:<\/p>\n
$ source ~\/.bashrc # O\n$ exec $SHELL\n<\/code><\/pre>\n
\nVerifiquemos si la instalaci\u00f3n fue exitosa:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Si ves algo similar, entonces todo est\u00e1 bien.<\/p>\n
\"C\u00f3mo
\n
\nVoy a probar uno de mis proyectos ya existentes. Antes de ejecutar la herramienta, necesita recibir una base de datos correspondiente al lenguaje en el que est\u00e1 escrito mi proyecto. Las bases de datos se encuentran en la carpeta ~\/gradit\/signatures:<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nAs\u00ed que prob\u00e9 dos archivos js de mi proyecto, y Graudit mostr\u00f3 en la consola informaci\u00f3n sobre vulnerabilidades en mi c\u00f3digo:<\/p>\n
\"C\u00f3mo
\n
\n\"C\u00f3mo
\n
\nPuedes intentar probar tus proyectos de la misma manera. La lista de bases de datos para diferentes lenguajes de programaci\u00f3n se puede ver aqu\u00ed<\/a><\/noindex>.<\/p>\n
Ventajas y desventajas de Graudit<\/h2>\n
\nGraudit soporta muchos lenguajes de programaci\u00f3n. Por lo tanto, es adecuado para una amplia gama de usuarios. Puede competir dignamente con cualquier alternativa gratuita o de pago. Y es muy importante que el proyecto contin\u00fae recibiendo mejoras, y que la comunidad no solo ayuda a los desarrolladores, sino tambi\u00e9n a otros usuarios que intentan entender la herramienta.<\/p>\n
Es una herramienta conveniente, pero a\u00fan no siempre puede indicar con precisi\u00f3n en qu\u00e9 consiste el problema relacionado con la parte sospechosa del c\u00f3digo. Los desarrolladores contin\u00faan mejorando Graudit. <\/p>\n
Pero en cualquier caso, es \u00fatil prestar atenci\u00f3n a posibles problemas de seguridad en el c\u00f3digo, utilizando herramientas como esta.<\/p>\n
Inicio…<\/h2>\n
\nEn este art\u00edculo solo revis\u00e9 una de las muchas formas de buscar vulnerabilidades: las pruebas de seguridad est\u00e1ticas de aplicaciones. Realizar un an\u00e1lisis est\u00e1tico de c\u00f3digo es f\u00e1cil, pero esto es solo el comienzo. Para conocer m\u00e1s sobre la seguridad de tu base de c\u00f3digo, necesitas integrar otros tipos de pruebas en el ciclo de vida del desarrollo de software.<\/p>\n
<\/p>\n
Publicidad<\/h4>\n
\nVPS confiable<\/a><\/noindex> y la elecci\u00f3n correcta del plan tarifario te permitir\u00e1n distraerte menos del desarrollo por problemas inc\u00f3modos: \u00a1todo funcionar\u00e1 sin fallos y con un uptime muy alto!<\/p>\n
\"C\u00f3mo<\/a><\/noindex>
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47C\u00f3mo usar una herramienta simple para buscar vulnerabilidades en el c\u00f3digo fuente | ProHoster","description":"Graudit admite m\u00faltiples lenguajes de programaci\u00f3n y permite integrar pruebas de seguridad en la base de c\u00f3digo directamente en el proceso de desarrollo.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}