प्रोग्राम कोड में कमजोरियों को खोजने के लिए एक सरल उपयोगिता का उपयोग कैसे करें

ग्रैडिट कई प्रोग्रामिंग भाषाओं का समर्थन करता है और आपको कोडबेस सुरक्षा परीक्षण को सीधे विकास प्रक्रिया में एकीकृत करने की अनुमति देता है।

स्रोत: Unsplash (मार्कस स्पिस्के)

परीक्षण सॉफ़्टवेयर विकास जीवन चक्र का एक महत्वपूर्ण हिस्सा है। परीक्षण कई प्रकार के होते हैं, उनमें से प्रत्येक अपनी समस्या का समाधान स्वयं करता है। आज मैं कोड में सुरक्षा समस्याओं को ढूंढने के बारे में बात करना चाहता हूं।

जाहिर है, सॉफ्टवेयर विकास की आधुनिक वास्तविकताओं में, प्रक्रिया सुरक्षा सुनिश्चित करना महत्वपूर्ण है। एक समय में, विशेष शब्द DevSecOps भी पेश किया गया था। यह शब्द किसी एप्लिकेशन में कमजोरियों की पहचान करने और उन्हें दूर करने के उद्देश्य से प्रक्रियाओं की एक श्रृंखला को संदर्भित करता है। मानकों के अनुसार कमजोरियों की जांच के लिए विशेष ओपन सोर्स समाधान मौजूद हैं OWASP, जो स्रोत कोड में कमजोरियों के विभिन्न प्रकारों और व्यवहार का वर्णन करता है।

सुरक्षा समस्याओं को हल करने के लिए अलग-अलग दृष्टिकोण हैं, जैसे स्टेटिक एप्लिकेशन सुरक्षा परीक्षण (एसएएसटी), डायनेमिक एप्लिकेशन सुरक्षा परीक्षण (डीएएसटी), इंटरएक्टिव एप्लिकेशन सुरक्षा परीक्षण (आईएएसटी), सॉफ्टवेयर संरचना विश्लेषण, इत्यादि।

स्थैतिक अनुप्रयोग सुरक्षा परीक्षण पहले से लिखे गए कोड में त्रुटियों की पहचान करता है। इस दृष्टिकोण के लिए एप्लिकेशन को चलाने की आवश्यकता नहीं होती है, यही कारण है कि इसे स्थैतिक विश्लेषण कहा जाता है।

मैं स्थैतिक कोड विश्लेषण पर ध्यान केंद्रित करूंगा और व्यवहार में सब कुछ प्रदर्शित करने के लिए एक सरल ओपन सोर्स टूल का उपयोग करूंगा।

मैंने स्थैतिक कोड सुरक्षा विश्लेषण के लिए एक ओपन सोर्स टूल क्यों चुना?

इसके कई कारण हैं: सबसे पहले, यह मुफ़्त है क्योंकि आप समान विचारधारा वाले लोगों के समुदाय द्वारा विकसित टूल का उपयोग कर रहे हैं जो अन्य डेवलपर्स की मदद करना चाहते हैं। यदि आपके पास एक छोटी टीम या स्टार्टअप है, तो आपके पास अपने कोडबेस की सुरक्षा का परीक्षण करने के लिए ओपन सोर्स सॉफ़्टवेयर का उपयोग करके पैसे बचाने का एक शानदार अवसर है। दूसरे, यह आपके लिए एक अलग DevSecOps टीम को नियुक्त करने की आवश्यकता को समाप्त कर देता है, जिससे आपकी लागत और कम हो जाती है।

अच्छे ओपन सोर्स टूल हमेशा लचीलेपन की बढ़ती आवश्यकताओं को ध्यान में रखते हुए बनाए जाते हैं। इसलिए, उनका उपयोग लगभग किसी भी वातावरण में किया जा सकता है, जिसमें कार्यों की एक विस्तृत श्रृंखला शामिल होती है। डेवलपर्स के लिए ऐसे टूल को उस सिस्टम से जोड़ना बहुत आसान है जो उन्होंने अपने प्रोजेक्ट पर काम करते समय पहले ही बना लिया है।

लेकिन कई बार आपको ऐसी सुविधा की आवश्यकता हो सकती है जो आपके द्वारा चुने गए टूल में उपलब्ध न हो। इस मामले में, आपके पास इसके कोड को फोर्क करने और अपनी आवश्यक कार्यक्षमता के साथ इसके आधार पर अपना स्वयं का टूल विकसित करने का अवसर है।

चूंकि ज्यादातर मामलों में ओपन सोर्स सॉफ्टवेयर का विकास समुदाय द्वारा सक्रिय रूप से प्रभावित होता है, इसलिए बदलाव करने का निर्णय काफी जल्दी और सटीक तरीके से किया जाता है: ओपन सोर्स प्रोजेक्ट के डेवलपर्स उपयोगकर्ताओं की प्रतिक्रिया और सुझावों, उनकी रिपोर्ट पर भरोसा करते हैं। त्रुटियाँ पाई गईं और अन्य समस्याएँ।

कोड सुरक्षा विश्लेषण के लिए ग्रेडिट का उपयोग करना

आप स्थैतिक कोड विश्लेषण के लिए विभिन्न ओपन सोर्स टूल का उपयोग कर सकते हैं; सभी प्रोग्रामिंग भाषाओं के लिए कोई सार्वभौमिक उपकरण नहीं है। उनमें से कुछ के डेवलपर्स OWASP अनुशंसाओं का पालन करते हैं और यथासंभव अधिक भाषाओं को कवर करने का प्रयास करते हैं।

यहां हम प्रयोग करेंगे ग्रुडिट, एक सरल कमांड लाइन उपयोगिता जो हमें अपने कोडबेस में कमजोरियों को खोजने की अनुमति देगी। यह विभिन्न भाषाओं को सपोर्ट करता है, लेकिन फिर भी इनका सेट सीमित है। Graudit को grep उपयोगिता उपयोगिता के आधार पर विकसित किया गया है, जिसे एक बार GNU लाइसेंस के तहत जारी किया गया था।

स्थैतिक कोड विश्लेषण के लिए समान उपकरण हैं - सुरक्षा के लिए रफ ऑडिटिंग टूल (RATS), सिक्योरिटीकम्पास वेब एप्लिकेशन एनालिसिस टूल (SWAAT), फ़्लॉफाइंडर इत्यादि। लेकिन ग्रैडिट बहुत लचीला है और इसमें न्यूनतम तकनीकी आवश्यकताएं हैं। हालाँकि, आपको ऐसी समस्याएँ हो सकती हैं जिनका समाधान Graudit नहीं कर सकता। फिर आप यहां अन्य विकल्प तलाश सकते हैं इस सूची में.

हम इस टूल को किसी विशिष्ट प्रोजेक्ट में एकीकृत कर सकते हैं, या इसे किसी चयनित उपयोगकर्ता के लिए उपलब्ध करा सकते हैं, या इसे अपनी सभी परियोजनाओं में एक साथ उपयोग कर सकते हैं। यहीं पर ग्रैडिट का लचीलापन भी काम आता है। तो आइए पहले रेपो को क्लोन करें:

$ git clone https://github.com/wireghoul/graudit

आइए अब Graudit को कमांड फॉर्मेट में उपयोग करने के लिए एक प्रतीकात्मक लिंक बनाएं

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

आइए .bashrc (या जो भी कॉन्फ़िगरेशन फ़ाइल आप उपयोग कर रहे हैं) में एक उपनाम जोड़ें:

#------ .bashrc ------
alias graudit="~/bin/graudit"

रिबूट:

$ source ~/.bashrc # OR
$ exex $SHELL

आइए देखें कि इंस्टॉलेशन सफल रहा या नहीं:

$ graudit -h

अगर आपको भी कुछ ऐसा ही दिखता है तो सब कुछ ठीक है.

मैं अपनी मौजूदा परियोजनाओं में से एक का परीक्षण करूंगा। टूल को चलाने से पहले, इसे उस भाषा के अनुरूप डेटाबेस से गुजरना होगा जिसमें मेरा प्रोजेक्ट लिखा गया है। डेटाबेस ~/gradit/signatures फ़ोल्डर में स्थित हैं:

$ graudit -d ~/gradit/signatures/js.db

इसलिए, मैंने अपने प्रोजेक्ट से दो जेएस फ़ाइलों का परीक्षण किया, और ग्राउडिट ने कंसोल पर मेरे कोड में कमजोरियों के बारे में जानकारी प्रदर्शित की:

आप इसी प्रकार अपनी परियोजनाओं का परीक्षण करने का प्रयास कर सकते हैं. आप विभिन्न प्रोग्रामिंग भाषाओं के लिए डेटाबेस की एक सूची देख सकते हैं यहां.

ग्रैडिट के फायदे और नुकसान

ग्रैडिट कई प्रोग्रामिंग भाषाओं का समर्थन करता है। इसलिए, यह उपयोगकर्ताओं की एक विस्तृत श्रृंखला के लिए उपयुक्त है। यह किसी भी मुफ़्त या सशुल्क एनालॉग के साथ पर्याप्त रूप से प्रतिस्पर्धा कर सकता है। और यह बहुत महत्वपूर्ण है कि परियोजना में अभी भी सुधार किए जा रहे हैं, और समुदाय न केवल डेवलपर्स की मदद करता है, बल्कि अन्य उपयोगकर्ताओं की भी मदद करता है जो टूल का पता लगाने की कोशिश कर रहे हैं।

यह एक उपयोगी उपकरण है, लेकिन अभी तक यह हमेशा सटीक रूप से पता नहीं लगा सकता है कि किसी संदिग्ध कोड के साथ समस्या क्या है। डेवलपर्स ग्रुडिट में सुधार करना जारी रखते हैं।

लेकिन किसी भी मामले में, इस तरह के टूल का उपयोग करते समय कोड में संभावित सुरक्षा समस्याओं पर ध्यान देना उपयोगी होता है।

शुरू करना…

इस लेख में, मैंने कमजोरियों को खोजने के कई तरीकों में से सिर्फ एक पर ध्यान दिया - स्थैतिक अनुप्रयोग सुरक्षा परीक्षण। स्थैतिक कोड विश्लेषण करना आसान है, लेकिन यह केवल शुरुआत है। अपने कोडबेस की सुरक्षा के बारे में अधिक जानने के लिए, आपको अपने सॉफ़्टवेयर विकास जीवनचक्र में अन्य प्रकार के परीक्षण को एकीकृत करने की आवश्यकता है।

विज्ञापन के अधिकार पर

विश्वसनीय वीपीएस और टैरिफ योजना का सही विकल्प आपको अप्रिय समस्याओं से विकास से कम विचलित होने की अनुमति देगा - सब कुछ विफलताओं के बिना और बहुत अधिक अपटाइम के साथ काम करेगा!

स्रोत: www.habr.com