{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Comment utiliser un outil simple pour rechercher des vuln\u00e9rabilit\u00e9s dans le code source","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit prend en charge de nombreux langages de programmation et permet d'int\u00e9grer des tests de s\u00e9curit\u00e9 de la base de code directement dans le processus de d\u00e9veloppement.<\/p>\n

\"Comment
\nSource : Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Les tests sont une partie importante du cycle de vie du d\u00e9veloppement logiciel. Il existe de nombreux types de tests, chacun ayant sa propre fonction. Aujourd'hui, je souhaite parler de la recherche de probl\u00e8mes de s\u00e9curit\u00e9 dans le code.<\/p>\n

Il est \u00e9vident qu'il est crucial d'assurer la s\u00e9curit\u00e9 des processus dans les d\u00e9veloppements logiciels modernes. \u00c0 une \u00e9poque, un terme sp\u00e9cifique, DevSecOps, a m\u00eame \u00e9t\u00e9 introduit. Ce terme d\u00e9signe un ensemble de proc\u00e9dures visant \u00e0 identifier et \u00e0 corriger les vuln\u00e9rabilit\u00e9s d'une application. Il existe des solutions open source sp\u00e9cialis\u00e9es pour v\u00e9rifier les vuln\u00e9rabilit\u00e9s conform\u00e9ment aux standards OWASP<\/a><\/noindex>, qui d\u00e9crivent diff\u00e9rents types et comportements des vuln\u00e9rabilit\u00e9s dans le code source.
\n<\/a><\/noindex><\/p>\n

Il existe diff\u00e9rentes approches pour r\u00e9soudre les probl\u00e8mes de s\u00e9curit\u00e9, comme le test de s\u00e9curit\u00e9 statique des applications (SAST), le test de s\u00e9curit\u00e9 dynamique des applications (DAST), le test de s\u00e9curit\u00e9 interactif des applications (IAST), l'analyse de composants logiciels (Software Composition Analysis), etc.<\/p>\n

Le test de s\u00e9curit\u00e9 statique des applications d\u00e9tecte les erreurs dans le code d\u00e9j\u00e0 \u00e9crit. Cette approche ne n\u00e9cessite pas l'ex\u00e9cution de l'application, c'est pourquoi elle est appel\u00e9e analyse statique.<\/p>\n

Je vais me concentrer sur l'analyse statique du code et utiliser un simple outil open source pour d\u00e9montrer tout cela en pratique.<\/p>\n

Pourquoi ai-je choisi un outil open source pour l'analyse statique de la s\u00e9curit\u00e9 du code<\/h2>\n

\nIl y a plusieurs raisons \u00e0 cela : premi\u00e8rement, c'est gratuit, car vous utilisez un outil d\u00e9velopp\u00e9 par une communaut\u00e9 de pairs qui souhaitent aider d'autres d\u00e9veloppeurs. Si vous avez une petite \u00e9quipe ou une startup, vous avez une excellente occasion d'\u00e9conomiser en utilisant un logiciel open source pour v\u00e9rifier la s\u00e9curit\u00e9 de votre base de code. Deuxi\u00e8mement, cela vous \u00e9vite d'avoir besoin d'embaucher une \u00e9quipe DevSecOps distincte, ce qui r\u00e9duit encore vos d\u00e9penses.<\/p>\n

De bons outils open source sont toujours cr\u00e9\u00e9s en tenant compte des exigences accrues en mati\u00e8re de flexibilit\u00e9. Par cons\u00e9quent, ils peuvent \u00eatre utilis\u00e9s pratiquement dans n'importe quel environnement, couvrant un large \u00e9ventail de t\u00e2ches. Il est beaucoup plus facile pour les d\u00e9veloppeurs de coupler ces outils avec le syst\u00e8me qu'ils ont d\u00e9j\u00e0 construit en travaillant sur leurs projets.<\/p>\n

Cependant, il peut y avoir des situations o\u00f9 vous aurez besoin d'une fonctionnalit\u00e9 qui n'est pas pr\u00e9sente dans l'outil que vous avez choisi. Dans ce cas, vous avez la possibilit\u00e9 de forker son code et de d\u00e9velopper votre propre outil bas\u00e9 sur celui-ci avec la fonctionnalit\u00e9 dont vous avez besoin.<\/p>\n

\u00c9tant donn\u00e9 que dans la plupart des cas, le d\u00e9veloppement de logiciels open source est fortement influenc\u00e9 par la communaut\u00e9, les d\u00e9cisions concernant les modifications sont prises assez rapidement et judicieusement : les d\u00e9veloppeurs du projet open source s'appuient sur les retours et les suggestions des utilisateurs, ainsi que sur leurs rapports concernant les bugs et autres probl\u00e8mes.<\/p>\n

Utiliser Graudit pour analyser la s\u00e9curit\u00e9 du code<\/h2>\n

\nPour l'analyse statique du code, diff\u00e9rents outils open source peuvent \u00eatre utilis\u00e9s, il n'existe pas d'outil universel pour tous les langages de programmation. Certains d\u00e9veloppeurs d'entre eux suivent les recommandations de l'OWASP et essaient de couvrir autant de langages que possible.<\/p>\n

Ici, nous allons utiliser Graudit<\/a><\/noindex>, un utilitaire simple en ligne de commande qui nous permettra de trouver des vuln\u00e9rabilit\u00e9s dans notre base de code. Il prend en charge plusieurs langages, mais son ensemble est tout de m\u00eame limit\u00e9. Graudit est bas\u00e9 sur l'outil utilitaire grep, qui a \u00e9t\u00e9 \u00e0 l'origine publi\u00e9 sous licence GNU.<\/p>\n

Il existe des outils similaires pour l'analyse statique du code : Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder, etc. Cependant, Graudit est tr\u00e8s flexible et a des exigences techniques minimales. Cela dit, vous pouvez rencontrer des t\u00e2ches que Graudit ne peut pas r\u00e9soudre. Dans ce cas, vous pouvez chercher d'autres options dans cette liste<\/a><\/noindex>.<\/p>\n

Nous pouvons int\u00e9grer cet outil dans un projet sp\u00e9cifique, le rendre accessible \u00e0 un utilisateur s\u00e9lectionn\u00e9, ou l'utiliser simultan\u00e9ment dans tous nos projets. C'est aussi une facette de la flexibilit\u00e9 de Graudit. Commen\u00e7ons donc par cloner le d\u00e9p\u00f4t :<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nCr\u00e9ons maintenant un lien symbolique pour Graudit afin de l'utiliser dans la ligne de commande<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolic ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nAjoutons un alias dans .bashrc (ou dans un autre fichier de configuration que vous utilisez) :<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nRechargeons :<\/p>\n
$ source ~\/.bashrc # OU\n$ exec $SHELL\n<\/code><\/pre>\n
\nV\u00e9rifions si l'installation s'est bien pass\u00e9e :<\/p>\n
$ graudit -h<\/code><\/pre>\n
Si vous voyez quelque chose de similaire, tout va bien.<\/p>\n
\"Comment
\n
\nJe vais tester l'un de mes projets existants. Avant d'ex\u00e9cuter l'outil, il faut lui transmettre la base de donn\u00e9es correspondant \u00e0 la langue dans laquelle mon projet est \u00e9crit. Les bases de donn\u00e9es se trouvent dans le dossier ~\/gradit\/signatures :<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nDonc, j'ai test\u00e9 deux fichiers js de mon projet, et Graudit a affich\u00e9 dans la console des informations sur les vuln\u00e9rabilit\u00e9s dans mon code :<\/p>\n
\"Comment
\n
\n\"Comment
\n
\nVous pouvez essayer de tester vos projets de la m\u00eame mani\u00e8re. La liste des bases de donn\u00e9es pour diff\u00e9rents langages de programmation est disponible ici<\/a><\/noindex>.<\/p>\n
Avantages et inconv\u00e9nients de Graudit<\/h2>\n
\nGraudit prend en charge de nombreux langages de programmation. Il convient donc \u00e0 un large \u00e9ventail d'utilisateurs. Il peut rivaliser \u00e0 juste titre avec n'importe quel \u00e9quivalent gratuit ou payant. Et il est tr\u00e8s important que le projet continue d'\u00eatre am\u00e9lior\u00e9, et que la communaut\u00e9 aide non seulement les d\u00e9veloppeurs, mais aussi d'autres utilisateurs qui essaient de comprendre l'outil.<\/p>\n
C'est un outil pratique, mais il ne peut pas toujours indiquer avec pr\u00e9cision quel est le probl\u00e8me li\u00e9 \u00e0 un segment de code suspect. Les d\u00e9veloppeurs continuent d'am\u00e9liorer Graudit. <\/p>\n
Quoi qu'il en soit, il est utile de pr\u00eater attention aux probl\u00e8mes de s\u00e9curit\u00e9 potentiels dans le code en utilisant des outils de ce type.<\/p>\n
D\u00e9but\u2026<\/h2>\n
\nDans cet article, j'ai examin\u00e9 seulement l'un des nombreux moyens de rechercher des vuln\u00e9rabilit\u00e9s : le test de s\u00e9curit\u00e9 statique des applications. Effectuer une analyse statique du code est facile, mais ce n'est qu'un d\u00e9but. Pour en savoir plus sur la s\u00e9curit\u00e9 de votre code, il faut int\u00e9grer d'autres types de tests dans le cycle de d\u00e9veloppement logiciel.<\/p>\n
<\/p>\n
En tant que publicit\u00e9<\/h4>\n
\nUn VPS fiable<\/a><\/noindex> et un bon choix de plan tarifaire permettront de se concentrer moins sur les probl\u00e8mes d\u00e9sagr\u00e9ables en cours de d\u00e9veloppement \u2014 tout fonctionnera sans interruption et avec un uptime tr\u00e8s \u00e9lev\u00e9 !<\/p>\n
\"Comment<\/a><\/noindex>
\n
Source : habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Comment utiliser un outil simple pour rechercher des vuln\u00e9rabilit\u00e9s dans le code source | ProHoster","description":"Graudit prend en charge de nombreux langages de programmation et permet d'int\u00e9grer des tests de s\u00e9curit\u00e9 de la base de code directement dans le processus de d\u00e9veloppement.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}