{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Come utilizzare un semplice strumento per cercare vulnerabilit\u00e0 nel codice","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit supporta molti linguaggi di programmazione e consente di integrare il testing della sicurezza del codice direttamente nel processo di sviluppo.<\/p>\n

\"Come
\nFonte: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Il testing \u00e8 una parte fondamentale del ciclo di vita dello sviluppo del software. Ci sono molti tipi di testing, ciascuno con il proprio scopo. Oggi voglio parlare della ricerca di problemi di sicurezza nel codice.<\/p>\n

\u00c8 evidente che nelle moderne realt\u00e0 dello sviluppo software sia fondamentale garantire la sicurezza dei processi. In passato, \u00e8 stato persino introdotto un termine specifico: DevSecOps. Questo termine si riferisce a una serie di procedure volte a identificare e correggere le vulnerabilit\u00e0 nelle applicazioni. Esistono soluzioni open source specializzate per controllare le vulnerabilit\u00e0 conformemente agli standard OWASP<\/a><\/noindex>, che descrivono i diversi tipi e il comportamento delle vulnerabilit\u00e0 nel codice sorgente.
\n<\/a><\/noindex><\/p>\n

Ci sono diversi approcci per risolvere i problemi di sicurezza, come il test statico della sicurezza delle applicazioni (SAST), il test dinamico della sicurezza delle applicazioni (DAST), il test interattivo della sicurezza delle applicazioni (IAST), l'analisi dei componenti del software (Software Composition Analysis) e altro ancora.<\/p>\n

Il test statico della sicurezza delle applicazioni rileva errori nel codice gi\u00e0 scritto. Questo approccio non richiede l'esecuzione dell'applicazione, quindi viene chiamato analisi statica.<\/p>\n

Mi concentrer\u00f2 sull'analisi statica del codice e utilizzer\u00f2 un semplice strumento open source per dimostrare tutto in pratica.<\/p>\n

Perch\u00e9 ho scelto uno strumento open source per l'analisi statica della sicurezza del codice<\/h2>\n

\nCi sono diverse ragioni: innanzitutto, \u00e8 gratuito, poich\u00e9 si utilizza uno strumento sviluppato da una comunit\u00e0 di persone affini che vogliono aiutare altri sviluppatori. Se hai un piccolo team o una startup, hai un'opportunit\u00e0 eccellente per risparmiare usando software open source per verificare la sicurezza della tua base di codice. In secondo luogo, ti libera dalla necessit\u00e0 di assumere un team separato di DevSecOps, il che riduce ulteriormente i tuoi costi.<\/p>\n

Buoni strumenti open source vengono sempre creati tenendo conto di requisiti superiori in termini di flessibilit\u00e0. Per questo motivo, possono essere utilizzati praticamente in qualsiasi ambiente, coprendo un'ampia gamma di compiti. \u00c8 molto pi\u00f9 semplice per gli sviluppatori integrare tali strumenti con il sistema che hanno gi\u00e0 costruito mentre lavorano ai loro progetti.<\/p>\n

Tuttavia, possono sorgere situazioni in cui hai bisogno di una funzione che non \u00e8 presente nello strumento scelto. In questo caso, hai la possibilit\u00e0 di forkare il codice e sviluppare il tuo strumento con le funzionalit\u00e0 necessarie.<\/p>\n

Poich\u00e9 in molti casi lo sviluppo di software open source \u00e8 fortemente influenzato dalla comunit\u00e0, le decisioni riguardo alle modifiche vengono prese abbastanza rapidamente e in modo appropriato: gli sviluppatori del progetto open source si basano su feedback e suggerimenti degli utenti, sui loro rapporti riguardo a bug e altri problemi.<\/p>\n

Utilizzo di Graudit per l'analisi della sicurezza del codice<\/h2>\n

\nPer l'analisi statica del codice, puoi utilizzare diversi strumenti open source; non esiste uno strumento universale per tutti i linguaggi di programmazione. Gli sviluppatori di alcuni di essi seguono le raccomandazioni di OWASP e cercano di coprire il maggior numero possibile di linguaggi.<\/p>\n

Qui utilizzeremo Graudit<\/a><\/noindex>, un semplice strumento da linea di comando che ci permetter\u00e0 di trovare vulnerabilit\u00e0 nel nostro codice. Supporta diversi linguaggi, ma il suo set \u00e8 comunque limitato. Graudit \u00e8 stato sviluppato sulla base dello strumento di servizio grep, che \u00e8 stato inizialmente rilasciato sotto licenza GNU.<\/p>\n

Esistono strumenti simili per l'analisi statica del codice, come il Rough Auditing Tool for Security (RATS), il Securitycompass Web Application Analysis Tool (SWAAT), flawfinder e cos\u00ec via. Ma Graudit \u00e8 molto flessibile e ha requisiti tecnici minimi. Tuttavia, potrebbero sorgere compiti che Graudit non \u00e8 in grado di risolvere. In tal caso, puoi cercare altre opzioni in questo elenco in questo elenco<\/a><\/noindex>.<\/p>\n

Possiamo integrare questo strumento in un progetto specifico, renderlo disponibile per un utente scelto, oppure utilizzarlo contemporaneamente in tutti i nostri progetti. Anche in questo si manifesta la flessibilit\u00e0 di Graudit. Quindi, iniziamo clonando il repository:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nOra creiamo un collegamento simbolico per Graudit, in modo da poterlo utilizzare nel formato della riga di comando<\/p>\n
$ cd ~\\\/bin && mkdir graudit\n$ ln --symbolic ~\\\/graudit\\\/graudit ~\\\/bin\\\/graudit<\/code><\/pre>\n
\nAggiungiamo un alias in .bashrc (o in un altro file di configurazione che stai usando):<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nRicarichiamo:<\/p>\n
$ source ~\\\/\\.bashrc # OPPURE\n$ exex $SHELL\n<\/code><\/pre>\n
\nControlliamo se l'installazione \u00e8 andata a buon fine:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Se vedi qualcosa di simile, allora va tutto bene.<\/p>\n
\"Come
\n
\nTester\u00f2 uno dei miei progetti gi\u00e0 esistenti. Prima di eseguire lo strumento, \u00e8 necessario passare un database che corrisponda al linguaggio in cui \u00e8 scritto il mio progetto. I database si trovano nella cartella ~\\\/gradit\\\/signatures:<\/p>\n
$ graudit -d ~\\\/gradit\\\/signatures\\\/js.db<\/code><\/pre>\n
\nQuindi, ho testato due file js del mio progetto e Graudit ha mostrato nella console informazioni sulle vulnerabilit\u00e0 nel mio codice:<\/p>\n
\"Come
\n
\n\"Come
\n
\nPuoi provare a testare i tuoi progetti allo stesso modo. Puoi vedere l'elenco dei database per diversi linguaggi di programmazione qui<\/a><\/noindex>.<\/p>\n
Vantaggi e svantaggi di Graudit<\/h2>\n
\nGraudit supporta numerosi linguaggi di programmazione. Pertanto, \u00e8 adatto per un'ampia gamma di utenti. Pu\u00f2 competere degnamente con qualsiasi analogo gratuito o a pagamento. \u00c8 molto importante che il progetto continui a ricevere aggiornamenti, e che la comunit\u00e0 non solo assista gli sviluppatori, ma anche gli altri utenti che cercano di comprendere lo strumento.<\/p>\n
\u00c8 uno strumento conveniente, ma per ora non sempre pu\u00f2 indicare con precisione quale sia il problema relativo a una sezione di codice sospetta. Gli sviluppatori continuano a perfezionare Graudit. <\/p>\n
Ma in ogni caso \u00e8 utile prestare attenzione ai potenziali problemi di sicurezza nel codice, utilizzando strumenti simili.<\/p>\n
Inizio\u2026<\/h2>\n
\nIn questo articolo ho coperto solo uno dei molti modi per cercare vulnerabilit\u00e0: il testing statico della sicurezza delle applicazioni. Effettuare un'analisi statica del codice \u00e8 facile, ma \u00e8 solo l'inizio. Per sapere di pi\u00f9 sulla sicurezza della tua base di codice, \u00e8 necessario integrare nel ciclo di vita dello sviluppo software altri tipi di testing.<\/p>\n
<\/p>\n
In base alla pubblicit\u00e0<\/h4>\n
\nVPS affidabile<\/a><\/noindex> e una scelta corretta del piano tariffario ti permetteranno di distrarti meno dallo sviluppo per problemi sgradevoli \u2014 tutto funzioner\u00e0 senza interruzioni e con un uptime molto elevato!<\/p>\n
\"Come<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come utilizzare una semplice utility per la ricerca di vulnerabilit\u00e0 nel codice sorgente | ProHoster","description":"Graudit supporta molti linguaggi di programmazione e consente di integrare il testing della sicurezza del codice direttamente nel processo di sviluppo.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}