{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Come utilizzare un semplice strumento per la ricerca di vulnerabilit\u00e0 nel codice sorgente","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit supporta molteplici linguaggi di programmazione e consente di integrare il test della sicurezza della base di codice direttamente nel processo di sviluppo.<\/p>\n

\"Come
\nFonte: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Il testing \u00e8 una parte fondamentale del ciclo di vita dello sviluppo software. Esistono molti tipi di testing, ognuno dei quali affronta specifiche problematiche. Oggi desidero parlare della ricerca di problemi di sicurezza nel codice.<\/p>\n

\u00c8 evidente che nelle moderne realt\u00e0 dello sviluppo software sia fondamentale garantire la sicurezza dei processi. Un tempo \u00e8 stato persino coniato un termine speciale, DevSecOps. Questo termine si riferisce a un insieme di procedure volte a identificare e risolvere le vulnerabilit\u00e0 all'interno dell'applicazione. Esistono soluzioni open source specializzate per il controllo delle vulnerabilit\u00e0 in conformit\u00e0 con gli standard OWASP<\/a><\/noindex>, che descrivono diversi tipi e comportamenti delle vulnerabilit\u00e0 nel codice sorgente.
\n<\/a><\/noindex><\/p>\n

Esistono diversi approcci per affrontare le problematiche di sicurezza, come il test statico della sicurezza delle applicazioni (SAST), il test dinamico della sicurezza delle applicazioni (DAST), il test interattivo della sicurezza delle applicazioni (IAST), l'analisi dei componenti software (Software Composition Analysis) e cos\u00ec via.<\/p>\n

Il test statico della sicurezza delle applicazioni rileva errori nel codice gi\u00e0 scritto. Questo approccio non richiede l'esecuzione dell'applicazione, pertanto \u00e8 noto come analisi statica.<\/p>\n

Mi concentrer\u00f2 sull'analisi statica del codice e utilizzer\u00f2 un semplice strumento open source per dimostrare tutto in pratica.<\/p>\n

Perch\u00e9 ho scelto uno strumento open source per l'analisi statica della sicurezza del codice<\/h2>\n

\nCi sono diverse ragioni per questo: in primo luogo, \u00e8 gratuito, poich\u00e9 stai utilizzando uno strumento sviluppato da una comunit\u00e0 di persone affini, che desiderano aiutare altri sviluppatori. Se hai un piccolo team o una startup, hai l'occasione perfetta per risparmiare utilizzando software open source per controllare la sicurezza della tua base di codice. In secondo luogo, questo ti libera dalla necessit\u00e0 di assumere un team separato di DevSecOps, il che riduce ulteriormente i tuoi costi.<\/p>\n

I buoni strumenti open source sono sempre progettati tenendo conto di requisiti elevati di flessibilit\u00e0. Pertanto, possono essere utilizzati praticamente in qualsiasi ambiente, coprendo una vasta gamma di attivit\u00e0. Per gli sviluppatori \u00e8 molto pi\u00f9 semplice integrare tali strumenti con il sistema che hanno gi\u00e0 costruito mentre lavorano ai loro progetti.<\/p>\n

Tuttavia, possono sorgere situazioni in cui hai bisogno di una funzionalit\u00e0 che non \u00e8 presente nello strumento che hai scelto. In questo caso, hai la possibilit\u00e0 di forkare il codice e sviluppare il tuo strumento basato su di esso con le funzionalit\u00e0 di cui hai bisogno.<\/p>\n

Poich\u00e9 nella maggior parte dei casi lo sviluppo di software open source \u00e8 fortemente influenzato dalla comunit\u00e0, le decisioni sulle modifiche vengono prese abbastanza rapidamente e in modo pertinente: gli sviluppatori del progetto open source si basano sui feedback e le suggerimenti degli utenti, cos\u00ec come sui loro report riguardo a bug e altri problemi.<\/p>\n

Utilizzare Graudit per l'analisi della sicurezza del codice<\/h2>\n

\nPer l'analisi statica del codice possono essere utilizzati diversi strumenti open source, non esiste uno strumento universale per tutti i linguaggi di programmazione. Gli sviluppatori di alcuni di essi seguono le raccomandazioni di OWASP e cercano di coprire il maggior numero possibile di linguaggi.<\/p>\n

Qui useremo Graudit<\/a><\/noindex>, una semplice utility da riga di comando che ci consentir\u00e0 di trovare vulnerabilit\u00e0 nella nostra base di codice. Supporta diversi linguaggi, ma il numero \u00e8 comunque limitato. Graudit \u00e8 stato sviluppato sulla base della utility di sistema grep, che una volta \u00e8 stata rilasciata con licenza GNU.<\/p>\n

Esistono strumenti simili per l'analisi statica del codice, come Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder e cos\u00ec via. Tuttavia, Graudit \u00e8 molto flessibile e ha requisiti tecnici minimi. Detto ci\u00f2, potrebbero sorgere delle esigenze che Graudit non \u00e8 in grado di soddisfare. In tal caso, puoi cercare altre opzioni in questa lista<\/a><\/noindex>.<\/p>\n

Possiamo integrare questo strumento in un progetto specifico, renderlo disponibile per un utente selezionato o utilizzarlo simultaneamente in tutti i nostri progetti. Questa \u00e8 un'altra dimostrazione della flessibilit\u00e0 di Graudit. Iniziamo clonando il repository:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nOra creiamo un collegamento simbolico per Graudit, in modo da utilizzarlo in formato comando<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolic ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nAggiungiamo un alias nel .bashrc (o in un altro file di configurazione che utilizzi):<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nRiavviamo:<\/p>\n
$ source ~\/ .bashrc # O\n$ exex $SHELL\n<\/code><\/pre>\n
\nVerifichiamo se l'installazione \u00e8 avvenuta con successo:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Se vedi qualcosa di simile, significa che \u00e8 tutto a posto.<\/p>\n
\"Come
\n
\nTester\u00f2 uno dei miei progetti gi\u00e0 esistenti. Prima di avviare lo strumento, \u00e8 necessario fornire un database corrispondente alla lingua in cui \u00e8 scritto il mio progetto. I database si trovano nella cartella ~\/gradit\/signatures:<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nQuindi, ho testato due file js del mio progetto e Graudit ha riportato nella console informazioni sulle vulnerabilit\u00e0 nel mio codice:<\/p>\n
\"Come
\n
\n\"Come
\n
\nPuoi provare a testare i tuoi progetti nello stesso modo. Puoi visualizzare l'elenco dei database per diversi linguaggi di programmazione qui<\/a><\/noindex>.<\/p>\n
Vantaggi e svantaggi di Graudit<\/h2>\n
\nGraudit supporta numerosi linguaggi di programmazione. Pertanto, \u00e8 adatto a un ampio spettro di utenti. Pu\u00f2 competere bene con qualsiasi alternativa gratuita o a pagamento. \u00c8 molto importante che il progetto continui a ricevere aggiornamenti e che la comunit\u00e0 non solo aiuti gli sviluppatori, ma anche altri utenti che cercano di comprendere lo strumento.<\/p>\n
\u00c8 uno strumento utile, ma per ora non riesce sempre a identificare con precisione quale sia il problema relativo a una parte sospetta del codice. Gli sviluppatori continuano a migliorare Graudit. <\/p>\n
Ma in ogni caso \u00e8 utile prestare attenzione ai potenziali problemi di sicurezza nel codice, utilizzando strumenti simili.<\/p>\n
Inizio…<\/h2>\n
\nIn questo articolo ho trattato solo uno dei tanti modi per identificare vulnerabilit\u00e0: il testing statico della sicurezza delle applicazioni. Effettuare un'analisi statica del codice \u00e8 semplice, ma \u00e8 solo l'inizio. Per conoscere meglio la sicurezza della vostra base di codice, \u00e8 necessario integrare nel ciclo di vita dello sviluppo del software altri tipi di testing.<\/p>\n
<\/p>\n
In pubblicit\u00e0<\/h4>\n
\nVPS affidabile<\/a><\/noindex> e la corretta scelta del piano tariffario permetteranno di dedicarsi meno alla risoluzione di fastidiosi problemi \u2014 tutto funzioner\u00e0 senza intoppi e con un uptime molto elevato!<\/p>\n
\"Come<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Come utilizzare un semplice strumento per la ricerca di vulnerabilit\u00e0 nel codice sorgente | ProHoster","description":"Graudit supporta molti linguaggi di programmazione e consente di integrare il testing della sicurezza della base di codice direttamente nel processo di sviluppo. Fonte: Unsplash (Markus Spiske) Il testing \u00e8 una parte importante del ciclo di vita dello sviluppo software. Ci sono molti tipi di testing, ognuno dei quali affronta un compito specifico. Oggi voglio parlare dell'identificazione di problemi di sicurezza nel codice. \u00c8 evidente che nelle moderne realt\u00e0","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}