> For the complete documentation index, see [llms.txt](https://hacktricks.xsx.tw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacktricks.xsx.tw/network-services-pentesting/pentesting-web/code-review-tools.md).

# Source code Review / SAST Tools

<details>

<summary><strong>从零开始学习 AWS 黑客技术，成为专家</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE（HackTricks AWS 红队专家）</strong></a><strong>！</strong></summary>

支持 HackTricks 的其他方式：

* 如果您想看到您的**公司在 HackTricks 中做广告**或**下载 PDF 版的 HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)!
* 获取[**官方 PEASS & HackTricks 商品**](https://peass.creator-spring.com)
* 探索[**PEASS 家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)
* **加入** 💬 [**Discord 群组**](https://discord.gg/hRep4RUj7f) 或 [**电报群组**](https://t.me/peass) 或在 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live) 上**关注**我们。
* 通过向 [**HackTricks**](https://github.com/carlospolop/hacktricks) 和 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 仓库提交 PR 来**分享您的黑客技巧**。

</details>

## 指南和工具列表

* [**https://owasp.org/www-community/Source\_Code\_Analysis\_Tools**](https://owasp.org/www-community/Source_Code_Analysis_Tools)
* [**https://github.com/analysis-tools-dev/static-analysis**](https://github.com/analysis-tools-dev/static-analysis)

## 多语言工具

### [Naxus - AI-Gents](https://www.naxusai.com/)

有一个**免费的套餐用于审查 PR**。

### [**Semgrep**](https://github.com/returntocorp/semgrep)

这是一个**开源工具**。

#### 支持的语言

| 类别           | 语言                                                                                                    |
| ------------ | ----------------------------------------------------------------------------------------------------- |
| GA           | C# · Go · Java · JavaScript · JSX · JSON · PHP · Python · Ruby · Scala · Terraform · TypeScript · TSX |
| Beta         | Kotlin · Rust                                                                                         |
| Experimental | Bash · C · C++ · Clojure · Dart · Dockerfile · Elixir · HTML · Julia · Jsonnet · Lisp ·               |

#### 快速开始

{% code overflow="wrap" %}

```bash
# Install https://github.com/returntocorp/semgrep#option-1-getting-started-from-the-cli
brew install semgrep

# Go to your repo code and scan
cd repo
semgrep scan --config auto
```

{% endcode %}

您还可以使用[**semgrep VSCode Extension**](https://marketplace.visualstudio.com/items?itemName=Semgrep.semgrep)在VSCode中获取查找结果。

### [**SonarQube**](https://www.sonarsource.com/products/sonarqube/downloads/)

有一个可安装的**免费版本**。

#### 快速开始

{% code overflow="wrap" %}

```bash
# Run the paltform in docker
docker run -d --name sonarqube -e SONAR_ES_BOOTSTRAP_CHECKS_DISABLE=true -p 9000:9000 sonarqube:latest
# Install cli tool
brew install sonar-scanner

# Go to localhost:9000 and login with admin:admin or admin:sonar
# Generate a local project and then a TOKEN for it

# Using the token and from the folder with the repo, scan it
cd path/to/repo
sonar-scanner \
-Dsonar.projectKey=<project-name> \
-Dsonar.sources=. \
-Dsonar.host.url=http://localhost:9000 \
-Dsonar.token=<sonar_project_token>
```

{% endcode %}

### CodeQL

CodeQL有一个可安装的免费版本，但根据许可证，您只能在开源项目中使用免费的CodeQL版本。

#### 安装

{% code overflow="wrap" %}

```bash
# Download your release from https://github.com/github/codeql-action/releases
## Example
wget https://github.com/github/codeql-action/releases/download/codeql-bundle-v2.14.3/codeql-bundle-osx64.tar.gz

# Move it to the destination folder
mkdir ~/codeql
mv codeql-bundle* ~/codeql

# Decompress it
cd ~/codeql
tar -xzvf codeql-bundle-*.tar.gz
rm codeql-bundle-*.tar.gz

# Add to path
echo 'export PATH="$PATH:/Users/username/codeql/codeql"' >> ~/.zshrc

# Check it's correctly installed
## Open a new terminal
codeql resolve qlpacks #Get paths to QL packs
```

{% endcode %}

#### 快速入门 - 准备数据库

{% hint style="success" %}
你需要做的第一件事是**准备数据库**（创建代码树），以便稍后对其运行查询。
{% endhint %}

* 您可以允许 codeql 自动识别存储库的语言并创建数据库

{% code overflow="wrap" %}

```bash
codeql database create <database> --language <language>

# Example
codeql database create /path/repo/codeql_db --source-root /path/repo
## DB will be created in /path/repo/codeql_db
```

{% endcode %}

{% hint style="danger" %}
这通常会触发一个错误，指出指定了多种语言（或自动检测到）。检查下一个选项来修复这个问题！
{% endhint %}

* 您可以手动指定**存储库**和**语言**（[语言列表](https://docs.github.com/en/code-security/codeql-cli/getting-started-with-the-codeql-cli/preparing-your-code-for-codeql-analysis#running-codeql-database-create))

{% code overflow="wrap" %}

```bash
codeql database create <database> --language <language> --source-root </path/to/repo>

# Example
codeql database create /path/repo/codeql_db --language javascript --source-root /path/repo
## DB will be created in /path/repo/codeql_db
```

{% endcode %}

* 如果您的存储库使用**多于1种语言**，您还可以为每种语言创建**1个数据库**来指示每种语言。

{% code overflow="wrap" %}

```bash
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --source-root /path/to/repo --db-cluster --language "javascript,python"

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /path/repo/codeql_db --source-root /path/to/repo --db-cluster --language "javascript,python"
## DBs will be created in /path/repo/codeql_db/*
```

{% endcode %}

* 您还可以允许 `codeql` 为您**识别所有语言**并为每种语言创建一个数据库。您需要提供一个**GITHUB\_TOKEN**。

{% code overflow="wrap" %}

```bash
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create <database> --db-cluster --source-root </path/to/repo>

# Example
export GITHUB_TOKEN=ghp_32849y23hij4...
codeql database create /tmp/codeql_db --db-cluster --source-root /path/repo
## DBs will be created in /path/repo/codeql_db/*
```

{% endcode %}

#### 快速开始 - 分析代码

{% hint style="success" %}
现在终于是分析代码的时候了
{% endhint %}

请记住，如果您使用了多种语言，**每种语言一个数据库** 将会在您指定的路径中创建。

{% code overflow="wrap" %}

```bash
# Default analysis
codeql database analyze <database> --format=<format> --output=</out/file/path>
# Example
codeql database analyze /tmp/codeql_db/javascript --format=sarif-latest --output=/tmp/graphql_results.sarif

# Specify QL pack to use in the analysis
codeql database analyze <database> \
<qls pack> --sarif-category=<language> \
--sarif-add-baseline-file-info \ --format=<format> \
--output=/out/file/path>
# Example
codeql database analyze /tmp/codeql_db \
javascript-security-extended --sarif-category=javascript \
--sarif-add-baseline-file-info --format=sarif-latest \
--output=/tmp/sec-extended.sarif
```

{% endcode %}

#### 快速开始 - 脚本化

{% code overflow="wrap" %}

```bash
export GITHUB_TOKEN=ghp_32849y23hij4...
export REPO_PATH=/path/to/repo
export OUTPUT_DIR_PATH="$REPO_PATH/codeql_results"
mkdir -p "$OUTPUT_DIR_PATH"
export FINAL_MSG="Results available in: "

echo "Creating DB"
codeql database create "$REPO_PATH/codeql_db" --db-cluster --source-root "$REPO_PATH"
for db in `ls "$REPO_PATH/codeql_db"`; do
echo "Analyzing $db"
codeql database analyze "$REPO_PATH/codeql_db/$db" --format=sarif-latest --output="${OUTPUT_DIR_PATH}/$db).sarif"
FINAL_MSG="$FINAL_MSG ${OUTPUT_DIR_PATH}/$db.sarif ,"
echo ""
done

echo $FINAL_MSG
```

{% endcode %}

您可以在[**https://microsoft.github.io/sarif-web-component/**](https://microsoft.github.io/sarif-web-component/)上查看发现结果，或者使用VSCode扩展[**SARIF viewer**](https://marketplace.visualstudio.com/items?itemName=MS-SarifVSCode.sarif-viewer)。

您还可以使用[**VSCode扩展**](https://marketplace.visualstudio.com/items?itemName=GitHub.vscode-codeql)在VSCode中获取发现结果。您仍然需要手动创建数据库，然后可以选择任何文件，单击`右键` -> `CodeQL: Run Queries in Selected Files`

### [**Snyk**](https://snyk.io/product/snyk-code/)

有一个**可安装的免费版本**。

#### 快速入门

```bash
# Install
sudo npm install -g snyk

# Authenticate (you can use a free account)
snyk auth

# Test for open source vulns & license issues
snyk test [--all-projects]

# Test for code vulnerabilities
## This will upload your code and you need to enable this option in: Settings > Snyk Code
snyk test code

# Test for vulns in images
snyk container test [image]

# Test for IaC vulns
snyk iac test
```

你也可以使用[snyk VSCode Extension](https://marketplace.visualstudio.com/items?itemName=snyk-security.snyk-vulnerability-scanner)在VSCode中获取发现。

### [Insider](https://github.com/insidersec/insider)

它是**开源**的，但看起来**未维护**。

#### 支持的语言

Java（Maven和Android），Kotlin（Android），Swift（iOS），.NET完整框架，C＃和Javascript（Node.js）。

#### 快速入门

```bash
# Check the correct release for your environment
$ wget https://github.com/insidersec/insider/releases/download/2.1.0/insider_2.1.0_linux_x86_64.tar.gz
$ tar -xf insider_2.1.0_linux_x86_64.tar.gz
$ chmod +x insider
$ ./insider --tech javascript  --target <projectfolder>
```

### [**DeepSource**](https://deepsource.com/pricing)

免费用于**公共存储库**。

## NodeJS

* **`yarn`**

```bash
# Install
brew install yarn
# Run
cd /path/to/repo
yarn audit
npm audit
```

* **`pnpm`**

```bash
# Install
npm install -g pnpm
# Run
cd /path/to/repo
pnpm audit
```

* [**nodejsscan**](https://github.com/ajinabraham/nodejsscan)**:** 用于 Node.js 应用程序的静态安全代码扫描器（SAST），由[libsast](https://github.com/ajinabraham/libsast)和[semgrep](https://github.com/returntocorp/semgrep)驱动。

```bash
# Install & run
docker run -it -p 9090:9090 opensecurity/nodejsscan:latest
# Got to localhost:9090
# Upload a zip file with the code
```

* [**RetireJS**](https://github.com/RetireJS/retire.js)**:** Retire.js 的目标是帮助您检测使用已知漏洞的 JS 库版本。

```bash
# Install
npm install -g retire
# Run
cd /path/to/repo
retire --colors
```

## Electron

* [**electronegativity**](https://github.com/doyensec/electronegativity)**:** 这是一个用于识别 Electron 应用程序中的配置错误和安全反模式的工具。

## Python

* [**Bandit**](https://github.com/PyCQA/bandit)**:** Bandit 是一个旨在查找 Python 代码中常见安全问题的工具。为此，Bandit 处理每个文件，从中构建 AST，并针对 AST 节点运行适当的插件。一旦 Bandit 完成扫描所有文件，它就会生成一份报告。

```bash
# Install
pip3 install bandit

# Run
bandit -r <path to folder>
```

* [**safety**](https://github.com/pyupio/safety): Safety检查Python依赖项中已知的安全漏洞，并提出适当的漏洞修复建议。Safety可以在开发者机器上运行，在CI/CD流水线中运行，也可以在生产系统上运行。

```bash
# Install
pip install safety
# Run
safety check
```

* [~~**Pyt**~~](https://github.com/python-security/pyt): 未维护。

## .NET

```bash
# dnSpy
https://github.com/0xd4d/dnSpy

# .NET compilation
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe test.cs
```

## RUST

## RUST

```bash
# Install
cargo install cargo-audit

# Run
cargo audit

#Update the Advisory Database
cargo audit fetch
```

## Java

## Java

```bash
# JD-Gui
https://github.com/java-decompiler/jd-gui

# Java compilation step-by-step
javac -source 1.8 -target 1.8 test.java
mkdir META-INF
echo "Main-Class: test" > META-INF/MANIFEST.MF
jar cmvf META-INF/MANIFEST.MF test.jar test.class
```

| 任务            | 命令                                                        |
| ------------- | --------------------------------------------------------- |
| 执行 Jar        | java -jar \[jar]                                          |
| 解压 Jar        | unzip -d \[output directory] \[jar]                       |
| 创建 Jar        | jar -cmf META-INF/MANIFEST.MF \[output jar] \*            |
| Base64 SHA256 | sha256sum \[file] \| cut -d' ' -f1 \| xxd -r -p \| base64 |
| 移除签名          | rm META-INF/*.SF META-INF/*.RSA META-INF/\*.DSA           |
| 从 Jar 中删除     | zip -d \[jar] \[file to remove]                           |
| 反编译类          | procyon -o . \[path to class]                             |
| 反编译 Jar       | procyon -jar \[jar] -o \[output directory]                |
| 编译类           | javac \[path to .java file]                               |

## 运行

```bash
https://github.com/securego/gosec
```

## PHP

[Psalm](https://phpmagazine.net/2018/12/find-errors-in-your-php-applications-with-psalm.html) 和 [PHPStan](https://phpmagazine.net/2020/09/phpstan-pro-edition-launched.html)。

### Wordpress 插件

<https://www.pluginvulnerabilities.com/plugin-security-checker/>

## Solidity

* <https://www.npmjs.com/package/solium>

## JavaScript

### 探索

1. Burp:

* Spider and discover content
* Sitemap > filter
* Sitemap > right-click domain > Engagement tools > Find scripts

2. [WaybackURLs](https://github.com/tomnomnom/waybackurls):

* `waybackurls <domain> |grep -i "\.js" |sort -u`

### 静态分析

#### 反混淆/美化/格式化

* <https://prettier.io/playground/>
* <https://beautifier.io/>
* 也可以查看下面提到的“反混淆/解包”工具。

#### 反混淆/解包

**注意**：可能无法完全反混淆。

1. 查找并使用 .map 文件：

* 如果 .map 文件暴露出来，可以轻松地进行反混淆。
* 通常，foo.js.map 对应 foo.js。手动查找它们。
* 使用 [JS Miner](https://github.com/PortSwigger/js-miner) 查找它们。
* 确保进行主动扫描。
* 阅读 '[Tips/Notes](https://github.com/minamo7sen/burp-JS-Miner/wiki#tips--notes)'
* 如果找到了，使用 [Maximize](https://www.npmjs.com/package/maximize) 进行反混淆。

2. 没有 .map 文件，尝试使用 JSnice:

* 参考：<http://jsnice.org/> & <https://www.npmjs.com/package/jsnice>
* 提示：
* 如果使用 jsnice.org，请点击“Nicify JavaScript”按钮旁边的选项按钮，并取消选择“Infer types”以减少代码中的注释。
* 确保在脚本之前没有空行，因为这可能会影响反混淆过程并导致不准确的结果。

4. 对于一些现代的 JSNice 替代方案，您可能想看看以下内容：

* <https://github.com/pionxzh/wakaru>
* > Javascript decompiler, unpacker and unminify toolkit

> Wakaru 是用于现代前端的 Javascript 反编译器。它可以从捆绑和转译的源代码中恢复原始代码。

* <https://github.com/j4k0xb/webcrack>
* > Deobfuscate obfuscator.io, unminify and unpack bundled javascript
* <https://github.com/jehna/humanify>
* > Un-minify Javascript code using ChatGPT

> 该工具使用大型语言模型（如 ChatGPT 和 llama2）和其他工具来取消 JavaScript 代码的最小化。请注意，LLM 不执行任何结构更改 - 它们只提供重命名变量和函数的提示。通过 Babel 在 AST 级别执行繁重的工作，以确保代码保持 1-1 等效。

* <https://thejunkland.com/blog/using-llms-to-reverse-javascript-minification.html>
* > Using LLMs to reverse JavaScript variable name minification

3. 使用 `console.log()`;

* 找到最后的返回值并将其更改为 `console.log(<packerReturnVariable>);`，以便打印反混淆的 js 而不是执行它。
* 然后，将修改后（仍然混淆的）js 粘贴到 <https://jsconsole.com/> 中，以查看反混淆的 js 是否记录到控制台中。
* 最后，将反混淆的输出粘贴到 <https://prettier.io/playground/> 中进行美化以进行分析。
* **注意**：如果仍然看到打包的（但不同的）js，可能是递归打包。重复该过程。

#### 参考

* [YouTube: DAST - Javascript Dynamic Analysis](https://www.youtube.com/watch?v=_v8r_t4v6hQ)
* [https://blog.nvisium.com/angular-for-pentesters-part-1](https://web.archive.org/web/20221226054137/https://blog.nvisium.com/angular-for-pentesters-part-1)
* [https://blog.nvisium.com/angular-for-pentesters-part-2](https://web.archive.org/web/20230204012439/https://blog.nvisium.com/angular-for-pentesters-part-2)
* [devalias](https://twitter.com/_devalias) 的 [GitHub Gists](https://gist.github.com/0xdevalias):
* [Deobfuscating / Unminifying Obfuscated Web App Code](https://gist.github.com/0xdevalias/d8b743efb82c0e9406fc69da0d6c6581#deobfuscating--unminifying-obfuscated-web-app-code)
* [Reverse Engineering Webpack Apps](https://gist.github.com/0xdevalias/8c621c5d09d780b1d321bfdb86d67cdd#reverse-engineering-webpack-apps)
* [etc](https://gist.github.com/search?q=user:0xdevalias+javascript)

#### 工具

* <https://portswigger.net/burp/documentation/desktop/tools/dom-invader>

#### 较少使用的参考

* <https://cyberchef.org/>
* <https://olajs.com/javascript-prettifier>
* <https://jshint.com/>
* <https://github.com/jshint/jshint/>