پروگرام ڪوڊ ۾ ڪمزورين کي ڳولڻ لاءِ هڪ سادي افاديت ڪيئن استعمال ڪجي

Graudit ڪيترن ئي پروگرامنگ ٻولين کي سپورٽ ڪري ٿو ۽ توهان کي ڪوڊ بيس سيڪيورٽي ٽيسٽنگ کي سڌو سنئون ترقي جي عمل ۾ ضم ڪرڻ جي اجازت ڏئي ٿو.

جو ذريعو: ناپسند (مارڪس اسپيسڪ)

جاچ سافٽ ويئر ڊولپمينٽ جي زندگي جي چڪر جو هڪ اهم حصو آهي. جاچ جا ڪيترائي قسم آھن، انھن مان ھر ھڪ پنھنجو مسئلو حل ڪري ٿو. اڄ آئون ڪوڊ ۾ سيڪيورٽي مسئلن کي ڳولڻ بابت ڳالهائڻ چاهيان ٿو.

ظاهر آهي، سافٽ ويئر ڊولپمينٽ جي جديد حقيقتن ۾، پروسيس سيڪيورٽي کي يقيني بڻائڻ ضروري آهي. هڪ دفعي، خاص اصطلاح DevSecOps پڻ متعارف ڪرايو ويو. هن اصطلاح جو حوالو ڏنو ويو آهي طريقيڪار جو هڪ سلسلو جنهن جو مقصد هڪ ايپليڪيشن ۾ ڪمزورين کي سڃاڻڻ ۽ ختم ڪرڻ آهي. معيارن جي مطابق ڪمزورين کي جانچڻ لاءِ خاص اوپن سورس حل آهن او ايس ايس پي, جيڪو بيان ڪري ٿو مختلف قسمن جي ۽ رويي جي خرابين جي ماخذ ڪوڊ ۾.

سيڪيورٽي مسئلن کي حل ڪرڻ لاءِ مختلف طريقا آھن، جھڙوڪ Static Application Security Testing (SAST)، Dynamic Application Security Testing (DAST)، Interactive Application Security Testing (IAST)، Software Composition Analysis، وغيره.

جامد ايپليڪيشن سيڪيورٽي جاچ اڳ ۾ لکيل ڪوڊ ۾ غلطين جي سڃاڻپ ڪري ٿي. اهو طريقو ايپليڪيشن کي هلائڻ جي ضرورت ناهي، ڇو ته ان کي جامد تجزيو سڏيو ويندو آهي.

مان جامد ڪوڊ جي تجزيي تي ڌيان ڏيندس ۽ عملي طور تي هر شي کي ظاهر ڪرڻ لاءِ هڪ سادي اوپن سورس ٽول استعمال ڪندس.

ڇو مون چونڊيو هڪ کليل ذريعو اوزار جامد ڪوڊ سيڪيورٽي تجزيي لاءِ

هن جا ڪيترائي سبب آهن: پهريون، اهو مفت آهي ڇو ته توهان هڪ ٽول استعمال ڪري رهيا آهيو جيڪو هڪ اهڙي قسم جي ماڻهن جي ڪميونٽي طرفان تيار ڪيو ويو آهي جيڪو ٻين ڊولپرز جي مدد ڪرڻ چاهي ٿو. جيڪڏهن توهان وٽ هڪ ننڍڙي ٽيم يا شروعاتي آهي، توهان وٽ هڪ بهترين موقعو آهي پئسا بچائڻ لاء اوپن سورس سافٽ ويئر استعمال ڪندي توهان جي ڪوڊ بيس جي سيڪيورٽي کي جانچڻ لاء. ٻيو، اهو هڪ الڳ DevSecOps ٽيم کي ڀرتي ڪرڻ جي ضرورت کي ختم ڪري ٿو، توهان جي قيمتن کي وڌيڪ گهٽائڻ.

سٺو اوپن سورس اوزار هميشه لچڪداريءَ جي وڌندڙ ضرورتن کي مدنظر رکندي ٺاهيا ويندا آهن. تنهن ڪري، اهي تقريبا ڪنهن به ماحول ۾ استعمال ڪري سگھجن ٿيون، ڪمن جي وڏي حد تائين. ڊولپرز لاءِ اهو تمام آسان آهي ته اهڙن اوزارن کي سسٽم سان ڳنڍڻ جيڪي انهن اڳ ۾ ئي ٺاهيا آهن انهن جي منصوبن تي ڪم ڪندي.

پر ڪڏهن ڪڏهن ٿي سگهي ٿو جڏهن توهان کي هڪ خاصيت جي ضرورت آهي جيڪا توهان جي چونڊيل اوزار ۾ موجود ناهي. انهي حالت ۾، توهان وٽ اهو موقعو آهي ته ان جي ڪوڊ کي فورڪ ڪريو ۽ ان جي بنياد تي پنهنجو اوزار ٺاهيو جيڪو توهان کي گهربل ڪارڪردگي سان.

جيئن ته اڪثر ڪيسن ۾ اوپن سورس سافٽ ويئر جي ترقي فعال طور تي ڪميونٽي تي اثر انداز ٿيندي آهي، تبديليون ڪرڻ جو فيصلو تمام جلدي ۽ نقطي تي ڪيو ويندو آهي: اوپن سورس پروجيڪٽ جي ڊولپرز صارفين جي راء ۽ تجويز تي ڀروسو ڪندا آهن، انهن جي رپورٽن تي. غلطيون مليون ۽ ٻيا مسئلا.

ڪوڊ سيڪيورٽي تجزيي لاءِ Graudit استعمال ڪندي

توھان استعمال ڪري سگھوٿا مختلف اوپن سورس اوزار جامد ڪوڊ جي تجزيي لاءِ؛ سڀني پروگرامنگ ٻولين لاءِ ڪو عالمگير اوزار نه آھي. انهن مان ڪجهه جا ڊولپر OWASP سفارشن تي عمل ڪن ٿا ۽ ڪوشش ڪن ٿا ته جيترو ٿي سگهي ڪيترين ئي ٻولين کي ڍڪي.

هتي اسان استعمال ڪنداسين گريجوئيٽ، هڪ سادي ڪمانڊ لائن افاديت جيڪا اسان کي اسان جي ڪوڊ بيس ۾ ڪمزورين کي ڳولڻ جي اجازت ڏيندو. اهو مختلف ٻولين کي سپورٽ ڪري ٿو، پر اڃا تائين انهن جو سيٽ محدود آهي. Graudit ترقي ڪئي وئي گريپ يوٽيلٽي يوٽيلٽي جي بنياد تي، جيڪا هڪ ڀيرو GNU لائسنس تحت جاري ڪئي وئي هئي.

جامد ڪوڊ جي تجزيي لاءِ اهڙا اوزار آهن - سڪيورٽي لاءِ روف آڊيٽنگ ٽول (RATS)، Securitycompass Web Application Analysis Tool (SWAAT)، flawfinder وغيره. پر Graudit تمام لچڪدار آهي ۽ گهٽ ۾ گهٽ ٽيڪنيڪل گهرجن آهي. تنهن هوندي، توهان وٽ شايد مسئلا آهن جيڪي Graudit حل نٿا ڪري سگهن. پوء توھان ڳولي سگھوٿا ٻيا اختيار هتي هن فهرست تي.

اسان هن اوزار کي هڪ مخصوص پروجيڪٽ ۾ ضم ڪري سگهون ٿا، يا ان کي هڪ چونڊيل صارف لاءِ دستياب بڻائي سگهون ٿا، يا ان کي هڪ ئي وقت اسان جي سڀني منصوبن ۾ استعمال ڪري سگهون ٿا. اهو پڻ آهي جتي Graudit جي لچڪ راند ۾ اچي ٿي. سو اچو ته پهرين ريپو کي ڪلون ڪريون:

$ git clone https://github.com/wireghoul/graudit

ھاڻي اچو ته ھڪ علامتي لنڪ ٺاھيون Graudit لاءِ ان کي ڪمانڊ فارميٽ ۾ استعمال ڪرڻ لاءِ

$ cd ~/bin && mkdir graudit
$ ln --symbolic ~/graudit/graudit ~/bin/graudit

اچو ته هڪ عرف شامل ڪريون .bashrc (يا جيڪو به ڪنفيگريشن فائل توهان استعمال ڪري رهيا آهيو):

#------ .bashrc ------
alias graudit="~/bin/graudit"

ريبوٽ:

$ source ~/.bashrc # OR
$ exex $SHELL

اچو ته چيڪ ڪريو ته انسٽاليشن ڪامياب هئي:

$ graudit -h

جيڪڏھن توھان ڪجھھ ساڳيو ڏسندا، پوء سڀ ڪجھ ٺيڪ آھي.

مان پنهنجي موجوده منصوبن مان هڪ جي جانچ ڪندس. اوزار کي هلائڻ کان اڳ، ان کي ٻولي سان لاڳاپيل ڊيٽابيس کي پاس ڪرڻ جي ضرورت آهي جنهن ۾ منهنجو پروجيڪٽ لکيو ويو آهي. ڊيٽابيس ~/gradit/signatures فولڊر ۾ واقع آهن:

$ graudit -d ~/gradit/signatures/js.db

تنهن ڪري، مون پنهنجي پروجيڪٽ مان ٻه js فائلن کي آزمايو، ۽ Graudit منهنجي ڪوڊ ۾ ڪمزورين بابت معلومات ڏيکاري ٿي ڪنسول ڏانهن:

توھان ڪوشش ڪري سگھوٿا پنھنجي پروجيڪٽس کي ساڳي طريقي سان. توھان مختلف پروگرامنگ ٻولين لاءِ ڊيٽابيس جي فهرست ڏسي سگھو ٿا هتي.

Graudit جا فائدا ۽ نقصان

Graudit ڪيترن ئي پروگرامنگ ٻولين کي سپورٽ ڪري ٿو. تنهن ڪري، ان کي استعمال ڪندڙن جي هڪ وسيع سلسلو لاء مناسب آهي. اهو مناسب طور تي ڪنهن به مفت يا ادا ڪيل اينالاگ سان مقابلو ڪري سگهي ٿو. ۽ اهو تمام ضروري آهي ته اڃا تائين پروجيڪٽ ۾ سڌارا ڪيا پيا وڃن، ۽ ڪميونٽي نه رڳو ڊولپرز جي مدد ڪري ٿي، پر ٻيا استعمال ڪندڙ پڻ جيڪي اوزار کي ڳولڻ جي ڪوشش ڪري رهيا آهن.

هي هڪ آسان اوزار آهي، پر اڃا تائين اهو هميشه اهو نه ٿو ڪري سگهي ته اهو مسئلو ڇا آهي ڪوڊ جي مشڪوڪ ٽڪر سان. ڊولپرز Graudit کي بهتر ڪرڻ لاء جاري آهن.

پر ڪنهن به صورت ۾، اهو مفيد آهي ته ڪوڊ ۾ امڪاني سيڪيورٽي مسئلن تي ڌيان ڏيڻ جڏهن هن طرح اوزار استعمال ڪندي.

شروع ٿي رهيو آهي…

هن آرٽيڪل ۾، مون ڏٺو ته ڪيترن ئي طريقن مان صرف هڪ کي ڳولڻ لاء خطرات - static application security testing. جامد ڪوڊ تجزيو ڪرڻ آسان آهي، پر اهو صرف شروعات آهي. توھان جي ڪوڊ بيس جي سيڪيورٽي بابت وڌيڪ ڄاڻڻ لاءِ، توھان کي ضرورت آھي ٻين قسمن جي جاچ کي پنھنجي سافٽ ويئر ڊولپمينٽ لائف سائيڪل ۾ ضم ڪرڻ.

اشتهارن جي حقن تي

قابل اعتماد VPS ۽ ٽريف پلان جو صحيح انتخاب توهان کي ناپسنديده مسئلن جي ڪري ترقي کان گهٽ پريشان ٿيڻ جي اجازت ڏيندو - هر شيءِ ناڪامي کان سواءِ ڪم ڪندي ۽ تمام گهڻي اپ ٽائم سان!

جو ذريعو: www.habr.com