{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Como utilizar uma ferramenta simples para buscar vulnerabilidades no c\u00f3digo de programa\u00e7\u00e3o","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

O Graudit suporta v\u00e1rias linguagens de programa\u00e7\u00e3o e permite integrar testes de seguran\u00e7a da base de c\u00f3digo diretamente no processo de desenvolvimento.<\/p>\n

\"Como
\nFonte: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

O teste \u00e9 uma parte importante do ciclo de vida do desenvolvimento de software. Existem muitos tipos de testes, cada um deles resolve sua pr\u00f3pria tarefa. Hoje, quero falar sobre a identifica\u00e7\u00e3o de problemas de seguran\u00e7a no c\u00f3digo.<\/p>\n

\u00c9 evidente que, nas atuais realidades do desenvolvimento de software, \u00e9 crucial garantir a seguran\u00e7a dos processos. Em seu tempo, at\u00e9 foi introduzido um termo especial, DevSecOps. Esse termo refere-se a um conjunto de procedimentos destinados a identificar e corrigir vulnerabilidades em aplicativos. Existem solu\u00e7\u00f5es open source especializadas para verificar vulnerabilidades de acordo com os padr\u00f5es OWASP<\/a><\/noindex>, que descrevem os v\u00e1rios tipos e comportamentos das vulnerabilidades no c\u00f3digo-fonte.
\n<\/a><\/noindex><\/p>\n

Existem diferentes abordagens para resolver problemas de seguran\u00e7a, como o teste est\u00e1tico de seguran\u00e7a de aplicativos (SAST), o teste din\u00e2mico de seguran\u00e7a de aplicativos (DAST), o teste interativo de seguran\u00e7a de aplicativos (IAST), a an\u00e1lise de componentes de software (Software Composition Analysis) e assim por diante.<\/p>\n

O teste est\u00e1tico de seguran\u00e7a de aplicativos identifica erros em c\u00f3digo j\u00e1 escrito. Essa abordagem n\u00e3o requer a execu\u00e7\u00e3o do aplicativo, por isso \u00e9 chamada de an\u00e1lise est\u00e1tica.<\/p>\n

Vou me concentrar na an\u00e1lise est\u00e1tica do c\u00f3digo e utilizar uma ferramenta open source simples para demonstrar tudo na pr\u00e1tica.<\/p>\n

Por que escolhi uma ferramenta open source para an\u00e1lise est\u00e1tica de seguran\u00e7a do c\u00f3digo<\/h2>\n

\nH\u00e1 v\u00e1rias raz\u00f5es: primeiro, \u00e9 gratuito, pois voc\u00ea utiliza uma ferramenta desenvolvida por uma comunidade de pessoas que desejam ajudar outros desenvolvedores. Se voc\u00ea tem uma equipe pequena ou uma startup, tem uma \u00f3tima oportunidade de economizar utilizando software de c\u00f3digo aberto para verificar a seguran\u00e7a de sua base de c\u00f3digo. Em segundo lugar, isso elimina a necessidade de contratar uma equipe separada de DevSecOps, o que reduz ainda mais seus custos.<\/p>\n

Boas ferramentas de c\u00f3digo aberto sempre s\u00e3o criadas com foco em uma maior flexibilidade. Portanto, podem ser utilizadas em praticamente qualquer ambiente, abrangendo uma ampla gama de tarefas. Para os desenvolvedores, \u00e9 muito mais simples integrar essas ferramentas ao sistema que j\u00e1 constru\u00edram enquanto trabalhavam em seus projetos.<\/p>\n

Mas podem surgir situa\u00e7\u00f5es em que voc\u00ea precise de uma funcionalidade que n\u00e3o est\u00e1 dispon\u00edvel na ferramenta que escolheu. Nesse caso, voc\u00ea tem a op\u00e7\u00e3o de bifurcar o c\u00f3digo e desenvolver sua pr\u00f3pria ferramenta com a funcionalidade necess\u00e1ria.<\/p>\n

Como na maioria dos casos o desenvolvimento de software de c\u00f3digo aberto \u00e9 fortemente influenciado pela comunidade, as decis\u00f5es sobre altera\u00e7\u00f5es s\u00e3o tomadas de forma r\u00e1pida e objetiva: os desenvolvedores do projeto open source se baseiam no feedback e nas sugest\u00f5es dos usu\u00e1rios, em suas mensagens sobre bugs encontrados e outros problemas.<\/p>\n

Usando o Graudit para analisar a seguran\u00e7a do c\u00f3digo<\/h2>\n

\nPara an\u00e1lise est\u00e1tica de c\u00f3digo, podem ser usados diferentes ferramentas de c\u00f3digo aberto, n\u00e3o existe uma ferramenta universal para todas as linguagens de programa\u00e7\u00e3o. Os desenvolvedores de algumas delas seguem as recomenda\u00e7\u00f5es da OWASP e buscam cobrir o maior n\u00famero poss\u00edvel de linguagens.<\/p>\n

Aqui n\u00f3s vamos usar Graudit<\/a><\/noindex>, uma simples ferramenta de linha de comando que nos permitir\u00e1 encontrar vulnerabilidades em nossa base de c\u00f3digo. Ela suporta diferentes linguagens, mas ainda assim seu conjunto \u00e9 limitado. O Graudit foi desenvolvido com base na ferramenta utilit\u00e1ria grep, que na \u00e9poca foi lan\u00e7ada sob a licen\u00e7a GNU.<\/p>\n

Existem ferramentas similares para an\u00e1lise est\u00e1tica de c\u00f3digo \u2014 Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder e assim por diante. Mas o Graudit \u00e9 muito flex\u00edvel e tem requisitos t\u00e9cnicos m\u00ednimos. No entanto, voc\u00ea pode ter tarefas que o Graudit n\u00e3o consegue resolver. Ent\u00e3o, voc\u00ea pode procurar outras op\u00e7\u00f5es nesta lista<\/a><\/noindex>.<\/p>\n

Podemos integrar esta ferramenta em um projeto espec\u00edfico, torn\u00e1-la dispon\u00edvel para um usu\u00e1rio selecionado ou us\u00e1-la simultaneamente em todos os nossos projetos. Essa tamb\u00e9m \u00e9 uma demonstra\u00e7\u00e3o da flexibilidade do Graudit. Ent\u00e3o, vamos come\u00e7ar clonando o reposit\u00f3rio:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nAgora vamos criar um link simb\u00f3lico para o Graudit, para us\u00e1-lo na linha de comando.<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolic ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nAdicione um alias no .bashrc (ou em outro arquivo de configura\u00e7\u00e3o que voc\u00ea utiliza):<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nRecarregue:<\/p>\n
$ source ~\/ .bashrc # OU\n$ exec $SHELL\n<\/code><\/pre>\n
\nVamos verificar se a instala\u00e7\u00e3o foi bem-sucedida:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Se voc\u00ea ver algo parecido, tudo est\u00e1 bem.<\/p>\n
\"Como
\n
\nVou testar um dos meus projetos j\u00e1 existentes. Antes de rodar a ferramenta, \u00e9 preciso passar um banco de dados correspondente \u00e0 linguagem em que meu projeto foi escrito. Os bancos de dados est\u00e3o na pasta ~\/gradit\/signatures:<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nEnt\u00e3o, testei dois arquivos js do meu projeto, e o Graudit exibiu informa\u00e7\u00f5es sobre vulnerabilidades no meu c\u00f3digo:<\/p>\n
\"Como
\n
\n\"Como
\n
\nVoc\u00ea pode tentar testar seus projetos da mesma forma. A lista de bancos de dados para diferentes linguagens de programa\u00e7\u00e3o pode ser vista aqui<\/a><\/noindex>.<\/p>\n
Vantagens e desvantagens do Graudit<\/h2>\n
\nO Graudit suporta v\u00e1rias linguagens de programa\u00e7\u00e3o. Portanto, \u00e9 adequado para uma ampla gama de usu\u00e1rios. Ele pode competir dignamente com qualquer alternativa gratuita ou paga. E \u00e9 muito importante que o projeto ainda esteja sendo desenvolvido, e a comunidade n\u00e3o s\u00f3 ajuda os desenvolvedores, mas tamb\u00e9m outros usu\u00e1rios que tentam entender a ferramenta.<\/p>\n
\u00c9 uma ferramenta conveniente, mas ainda n\u00e3o consegue sempre identificar exatamente qual \u00e9 o problema relacionado a uma parte suspeita do c\u00f3digo. Os desenvolvedores continuam aprimorando o Graudit. <\/p>\n
Mas de qualquer forma, \u00e9 \u00fatil prestar aten\u00e7\u00e3o a problemas de seguran\u00e7a potenciais no c\u00f3digo, usando ferramentas como essa.<\/p>\n
In\u00edcio...<\/h2>\n
\nNeste artigo, abordei apenas uma das muitas maneiras de buscar vulnerabilidades \u2014 o teste de seguran\u00e7a est\u00e1tica de aplica\u00e7\u00f5es. Realizar uma an\u00e1lise est\u00e1tica de c\u00f3digo \u00e9 f\u00e1cil, mas isso \u00e9 apenas o come\u00e7o. Para entender mais sobre a seguran\u00e7a da sua base de c\u00f3digo, voc\u00ea deve integrar outros tipos de teste ao ciclo de vida do desenvolvimento de software.<\/p>\n
<\/p>\n
Em nome da publicidade<\/h4>\n
\nVPS confi\u00e1vel<\/a><\/noindex> e a escolha certa do plano permitir\u00e3o que voc\u00ea se preocupe menos com problemas indesejados durante o desenvolvimento \u2014 tudo funcionar\u00e1 sem interrup\u00e7\u00f5es e com um uptime muito alto!<\/p>\n
\"Como<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Como usar uma ferramenta simples para encontrar vulnerabilidades no c\u00f3digo-fonte | ProHoster","description":"O Graudit suporta v\u00e1rias linguagens de programa\u00e7\u00e3o e permite integrar testes de seguran\u00e7a da base de c\u00f3digo diretamente no processo de desenvolvimento.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}