{"id":93051,"date":"2020-09-02T13:42:49","date_gmt":"2020-09-02T11:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode"},"modified":"2020-09-02T13:42:49","modified_gmt":"2020-09-02T11:42:49","slug":"kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","title":{"rendered":"Hur man anv\u00e4nder ett enkelt verktyg f\u00f6r att hitta s\u00e5rbarheter i programkod","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Graudit st\u00f6der m\u00e5nga programmeringsspr\u00e5k och m\u00f6jligg\u00f6r integration av s\u00e4kerhetstestning av kodbasen direkt i utvecklingsprocessen.<\/p>\n

\"Hur
\nK\u00e4lla: Unsplash<\/a><\/noindex> (Markus Spiske)<\/p>\n

Testning \u00e4r en viktig del av livscykeln f\u00f6r programvaruutveckling. Det finns m\u00e5nga typer av testning, och varje typ l\u00f6ser sin egen uppgift. Idag vill jag prata om att uppt\u00e4cka s\u00e4kerhetsproblem i koden.<\/p>\n

Det \u00e4r uppenbart att det i dagens programvaruutveckling \u00e4r viktigt att s\u00e4kerst\u00e4lla s\u00e4kerheten i processerna. Vid en tidpunkt inf\u00f6rdes till och med en speciell term, DevSecOps. Med denna term avses en rad procedurer som syftar till att identifiera och \u00e5tg\u00e4rda s\u00e5rbarheter i applikationen. Det finns specialiserade open source-l\u00f6sningar f\u00f6r att kontrollera s\u00e5rbarheter enligt standarderna OWASP<\/a><\/noindex>, som beskriver olika typer och beteende av s\u00e5rbarheter i k\u00e4llkoden.
\n<\/a><\/noindex><\/p>\n

Det finns olika tillv\u00e4gag\u00e5ngss\u00e4tt f\u00f6r att l\u00f6sa s\u00e4kerhetsproblem, till exempel statisk s\u00e4kerhetstestning av applikationer (SAST), dynamisk s\u00e4kerhetstestning av applikationer (DAST), interaktiv s\u00e4kerhetstestning av applikationer (IAST), programvarukomponentanalys (Software Composition Analysis) och s\u00e5 vidare.<\/p>\n

Statisk s\u00e4kerhetstestning av applikationer identifierar fel i redan skriven kod. Denna metod kr\u00e4ver inte att applikationen k\u00f6rs, s\u00e5 den kallas f\u00f6r statisk analys.<\/p>\n

Jag kommer att fokusera p\u00e5 statisk kodanalys och anv\u00e4nda ett enkelt open source-verktyg f\u00f6r att demonstrera allt i praktiken.<\/p>\n

Varf\u00f6r valde jag ett open source-verktyg f\u00f6r statisk s\u00e4kerhetsanalys av koden<\/h2>\n

\nDet finns flera sk\u00e4l till detta: f\u00f6r det f\u00f6rsta \u00e4r det gratis, eftersom du anv\u00e4nder ett verktyg utvecklat av en gemenskap av likasinnade som vill hj\u00e4lpa andra utvecklare. Om du har ett litet team eller en startup har du en utm\u00e4rkt m\u00f6jlighet att spara pengar genom att anv\u00e4nda programvara med \u00f6ppen k\u00e4llkod f\u00f6r att kontrollera s\u00e4kerheten i din kodbas. F\u00f6r det andra befriar det dig fr\u00e5n att beh\u00f6va anst\u00e4lla ett separat DevSecOps-team, vilket ytterligare minskar dina kostnader.<\/p>\n

Bra open source-verktyg skapas alltid med h\u00e4nsyn till h\u00f6gre krav p\u00e5 flexibilitet. D\u00e4rf\u00f6r kan de anv\u00e4ndas i n\u00e4stan alla milj\u00f6er och t\u00e4cker ett brett spektrum av uppgifter. Det \u00e4r mycket enklare f\u00f6r utvecklare att integrera s\u00e5dana verktyg med systemet som de redan har byggt, n\u00e4r de arbetar med sina projekt.<\/p>\n

Men det kan uppst\u00e5 situationer d\u00e4r du beh\u00f6ver en funktion som inte finns i det verktyg du valt. I detta fall har du m\u00f6jlighet att fork\u2019a koden och utveckla ett eget verktyg med den funktionalitet du beh\u00f6ver.<\/p>\n

Eftersom utvecklingen av \u00f6ppen k\u00e4llkod fr\u00e4mst p\u00e5verkas av gemenskapen, fattas beslut om \u00e4ndringar ganska snabbt och sakligt: utvecklarna av open source-projekt baserar sin verksamhet p\u00e5 feedback och f\u00f6rslag fr\u00e5n anv\u00e4ndare, samt deras rapporter om hittade buggar och andra problem.<\/p>\n

Att anv\u00e4nda Graudit f\u00f6r s\u00e4kerhetsanalys av kod<\/h2>\n

\nF\u00f6r statisk kodanalys kan olika open source-verktyg anv\u00e4ndas; det finns inget universellt verktyg f\u00f6r alla programmeringsspr\u00e5k. Utvecklarna av n\u00e5gra av dem f\u00f6ljer OWASP:s riktlinjer och f\u00f6rs\u00f6ker t\u00e4cka s\u00e5 m\u00e5nga spr\u00e5k som m\u00f6jligt.<\/p>\n

H\u00e4r kommer vi att anv\u00e4nda Graudit<\/a><\/noindex>, ett enkelt kommandoradsverktyg som g\u00f6r det m\u00f6jligt f\u00f6r oss att hitta s\u00e5rbarheter i v\u00e5r kodbas. Det st\u00f6djer olika spr\u00e5k, men dess urval \u00e4r \u00e4nd\u00e5 begr\u00e4nsat. Graudit \u00e4r utvecklat utifr\u00e5n det verktyg som kallas grep, som en g\u00e5ng sl\u00e4pptes under GNU-licensen.<\/p>\n

Det finns liknande verktyg f\u00f6r statisk kodanalys \u2013 Rough Auditing Tool for Security (RATS), Securitycompass Web Application Analysis Tool (SWAAT), flawfinder och s\u00e5 vidare. Men Graudit \u00e4r mycket flexibelt och har minimala tekniska krav. \u00c4nd\u00e5 kan det uppst\u00e5 uppgifter som Graudit inte kan l\u00f6sa. D\u00e5 kan du leta efter andra alternativ h\u00e4r i den h\u00e4r listan<\/a><\/noindex>.<\/p>\n

Vi kan integrera detta verktyg i ett specifikt projekt, g\u00f6ra det tillg\u00e4ngligt f\u00f6r en vald anv\u00e4ndare eller anv\u00e4nda det i alla v\u00e5ra projekt samtidigt. H\u00e4r visar Graudit ocks\u00e5 sin flexibilitet. L\u00e5t oss f\u00f6rst klona repo:<\/p>\n

$ git clone https:\/\/github.com\/wireghoul\/graudit<\/code><\/pre>\n
\nNu l\u00e5t oss skapa en symbolisk l\u00e4nk f\u00f6r Graudit s\u00e5 att vi kan anv\u00e4nda den i kommandoradsformat.<\/p>\n
$ cd ~\/bin && mkdir graudit\n$ ln --symbolic ~\/graudit\/graudit ~\/bin\/graudit<\/code><\/pre>\n
\nL\u00e5t oss l\u00e4gga till en alias i .bashrc (eller i en annan konfigurationsfil som du anv\u00e4nder):<\/p>\n
#------ .bashrc ------\nalias graudit="~\/bin\/graudit"<\/code><\/pre>\n
\nVi startar om:<\/p>\n
$ source ~\/.bashrc # ELLER\n$ exec $SHELL\n<\/code><\/pre>\n
\nL\u00e5t oss kontrollera om installationen lyckades:<\/p>\n
$ graudit -h<\/code><\/pre>\n
Om du ser n\u00e5got liknande, s\u00e5 \u00e4r allt bra.<\/p>\n
\"Hur
\n
\nJag kommer att testa ett av mina befintliga projekt. Innan verktyget kan k\u00f6ras m\u00e5ste en databas som motsvarar spr\u00e5ket i mitt projekt \u00f6verl\u00e4mnas. Databaserna finns i mappen ~\/gradit\/signatures:<\/p>\n
$ graudit -d ~\/gradit\/signatures\/js.db<\/code><\/pre>\n
\nS\u00e5 jag har testat tv\u00e5 js-filer fr\u00e5n mitt projekt och Graudit har skrivit ut information om s\u00e5rbarheterna i min kod p\u00e5 konsolen:<\/p>\n
\"Hur
\n
\n\"Hur
\n
\nDu kan ocks\u00e5 testa dina projekt p\u00e5 samma s\u00e4tt. En lista \u00f6ver databaser f\u00f6r olika programmeringsspr\u00e5k kan ses h\u00e4r<\/a><\/noindex>.<\/p>\n
F\u00f6rdelar och nackdelar med Graudit<\/h2>\n
\nGraudit st\u00f6der m\u00e5nga programmeringsspr\u00e5k. D\u00e4rf\u00f6r \u00e4r det l\u00e4mpligt f\u00f6r en bred anv\u00e4ndarbas. Det kan konkurrera v\u00e4l med alla gratis eller betalda alternativ. Det \u00e4r ocks\u00e5 viktigt att projektet fortfarande uppdateras, och att gemenskapen b\u00e5de hj\u00e4lper utvecklarna och andra anv\u00e4ndare som f\u00f6rs\u00f6ker f\u00f6rst\u00e5 verktyget.<\/p>\n
Det \u00e4r ett anv\u00e4ndbart verktyg, men f\u00f6r tillf\u00e4llet kan det inte alltid exakt ange vad problemet \u00e4r med det misst\u00e4nkta kodavsnittet. Utvecklarna forts\u00e4tter att f\u00f6rb\u00e4ttra Graudit. <\/p>\n
Men det \u00e4r alltid bra att vara uppm\u00e4rksam p\u00e5 potentiella s\u00e4kerhetsproblem i koden genom att anv\u00e4nda s\u00e5dana verktyg.<\/p>\n
B\u00f6rjan…<\/h2>\n
\nI den h\u00e4r artikeln har jag endast behandlat ett av m\u00e5nga s\u00e4tt att hitta s\u00e5rbarheter \u2014 statisk s\u00e4kerhetstestning av applikationer. Att utf\u00f6ra statisk kodanalys \u00e4r enkelt, men det \u00e4r bara b\u00f6rjan. F\u00f6r att f\u00e5 mer information om s\u00e4kerheten i din kodbas beh\u00f6ver du integrera andra testmetoder i programutvecklingscykeln.<\/p>\n
<\/p>\n
I reklamens namn<\/h4>\n
\nP\u00e5litlig VPS<\/a><\/noindex> och r\u00e4tt val av abonnemang g\u00f6r att du kan fokusera mindre p\u00e5 otrevliga problem under utvecklingen \u2014 allt kommer att fungera utan st\u00f6rningar och med mycket h\u00f6g upptid!<\/p>\n
\"Hur<\/a><\/noindex>
\n
K\u00e4lla: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438. \u0418\u0441\u0442\u043e\u0447\u043d\u0438\u043a: Unsplash (Markus Spiske) \u0422\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u2014 \u0432\u0430\u0436\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u0436\u0438\u0437\u043d\u0435\u043d\u043d\u043e\u0433\u043e \u0446\u0438\u043a\u043b\u0430 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u043e\u0447\u0435\u043d\u044c \u043c\u043d\u043e\u0433\u043e \u0432\u0438\u0434\u043e\u0432 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043a\u0430\u0436\u0434\u044b\u0439 \u0438\u0437 \u043d\u0438\u0445 \u0440\u0435\u0448\u0430\u0435\u0442 \u0441\u0432\u043e\u044e \u0437\u0430\u0434\u0430\u0447\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u044f \u0445\u043e\u0447\u0443 \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u043f\u043e\u0438\u0441\u043a\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u043a\u043e\u0434\u0435. \u041e\u0447\u0435\u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0432 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0445 \u0440\u0435\u0430\u043b\u0438\u044f\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":93052,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-93051","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hur man anv\u00e4nder ett enkelt verktyg f\u00f6r att hitta s\u00e5rbarheter i programkoden | ProHoster","description":"Graudit st\u00f6der m\u00e5nga programmeringsspr\u00e5k och m\u00f6jligg\u00f6r integration av s\u00e4kerhetstestning av kodbasen direkt i utvecklingsprocessen.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0441\u0442\u0443\u044e \u0443\u0442\u0438\u043b\u0438\u0442\u0443 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u043c \u043a\u043e\u0434\u0435 | ProHoster","og:description":"Graudit \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u0442 \u043c\u043d\u043e\u0436\u0435\u0441\u0442\u0432\u043e \u044f\u0437\u044b\u043a\u043e\u0432 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043a\u043e\u0434\u043e\u0432\u043e\u0439 \u0431\u0430\u0437\u044b \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/kak-ispolzovat-prostuyu-utilitu-dlya-poiska-uyazvimostej-v-programmnom-kode","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-02T11:42:49+00:00","article:modified_time":"2020-09-02T11:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"93051","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:56:23","updated":"2022-10-03 07:52:13","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/93051","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=93051"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/93051\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/93052"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=93051"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=93051"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=93051"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}