Java 代码审计工具—铲子 sast 的内置规则

阅读量41886

发布时间 : 2024-11-12 17:47:54

“铲子”是一款简单易用的JAVA SAST(静态应用程序安全测试)工具,旨在为安全工程师提供一款简单、好用、价格厚道的代码安全扫描产品。

本文简单介绍铲子 sast 的内置规则。

2024.2.0版本规则列表

  1. any_any_cmdi.cypher // 数据流规则、命令执行
  2. any_any_ldapi.cypher // 数据流规则、ldap注入
  3. any_any_pathtraver.cypher // 数据流规则、路径遍历
  4. any_any_ssrf.cypher // 数据流规则、ssrf
  5. any_any_upload.cypher // 数据流规则、文件上传
  6. any_any_urlredirect.cypher // 数据流规则、url跳转
  7. any_any_xss.cypher // 数据流规则、xss
  8. any_any_xxe.cypher // 数据流规则、xxe
  9. any_el_codei.cypher // 数据流规则、el注入
  10. any_fastjson_deserialization.cypher // 数据流规则、fastjson反序列化
  11. any_freemarker_ssti.cypher // 数据流规则、freemarker 模板注入
  12. any_groovyshell_codei.cypher // 数据流规则、groovyshell 代码执行
  13. any_hash_weekhash.cypher // 数据流规则、弱 hash 算法
  14. any_hash2_weekhash.cypher // 数据流规则、弱 hash 算法
  15. any_java_deserialization.cypher // 数据流规则、Java 反序列化
  16. any_jdbc_sqli.cypher // 数据流规则、jdbc sql 注入
  17. any_jdbctemplate_sqli.cypher // 数据流规则、jdbctemplate sql注入
  18. any_jndi_jndii.cypher // 数据流规则、jndi 注入
  19. any_jpa_sqli.cypher // 数据流规则、jpa sql注入
  20. any_mvel_codei.cypher // 数据流规则、mvel 注入
  21. any_mybatis_sqli.cypher // 数据流规则、mybatis sql 注入(mybatis注解&xml)
  22. any_ognl_codei.cypher // 数据流规则、ognl 代码执行
  23. any_qlexpress_codei.cypher // 数据流规则、qlexpress 代码执行
  24. any_ScriptEngine_codei.cypher // 数据流规则、ScriptEngine 代码执行
  25. any_socket_ssrf.cypher // 数据流规则、socket 类型的 ssrf (区别于 http ssrf)
  26. any_spel_codei.cypher // 数据流规则、spel 代码执行
  27. any_thymeleaf_ssti.cypher // 数据流规则、thymeleaf 模板注入
  28. any_velocity_ssti.cypher // 数据流规则、velocity 模板注入
  29. config_actuator_misconfig.cypher // 非数据流规则、actuator 未授权
  30. config_actuator2_misconfig.cypher // 非数据流规则、actuator 未授权
  31. config_druid_misconfig.cypher //非数据流规则、druid 未授权
  32. config_h2_misconfig.cypher //非数据流规则、h2 webconsole 未授权
  33. config_secret_hardcode.cypher //非数据流规则、密钥硬编码在配置文件
  34. cookie_response_cookiesecure.cypher //数据流规则、会话cookie 无 httponly
  35. java_druid_misconfig.cypher //非数据流规则、druid 未授权
  36. java_secret_hardcode.cypher // 数据流规则、密钥硬编码在 java 代码
  37. java_secret2_hardcode.cypher // 数据流规则、密钥硬编码在 java 代码
  38. java_swagger_misconfig.cypher // 非数据流规则、swagger api 信息泄露
  39. jsp_any_xss.cypher // 数据流规则、jsp xss
  40. pom_dubbo_deserialization.cypher // 非数据流规则、dubbo 框架低版本漏洞
  41. pom_fastjson_deserialization.cypher // 非数据流规则、fastjson 低版本漏洞
  42. pom_jacksondatabind_deserialization.cypher // 非数据流规则、jacksondatabind 低版本漏洞
  43. pom_log4j_codei.cypher // 非数据流规则、log4j 低版本漏洞
  44. pom_shiro_deserialization.cypher // 非数据流规则、shiro 低版本漏洞
  45. pom_snakeyaml_deserialization.cypher // 非数据流规则、snakeyaml 低版本漏洞
  46. pom_springgateway_codei.cypher // 非数据流规则、springgateway 低版本漏洞
  47. pom_struts2_codei.cypher // 非数据流规则、struts2 低版本漏洞
  48. pom_xstream_deserialization.cypher // 非数据流规则、xstream 低版本漏洞
  49. socket_any_cmdi.cypher // 数据流规则、socket 服务 命令注入漏洞
  50. websocket_any_cmdi.cypher // 数据流规则、websocket 服务 命令注入漏洞
  51. 内置规则完全开放,在规则管理功能即可查看

工具使用界面演示

 

工具下载地址:https://github.com/Chanzi-keji/chanzi

本文由chanziSAST原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/301297

安全客 - 有思想的安全新媒体

分享到:微信
+10赞
收藏
chanziSAST
分享到:微信

发表评论

chanziSAST

铲子是一款简单、好用、价格厚道的 Java 代码安全扫描工具,我们努力让客户把发现代码安全漏洞变得简单、低成本!

  • 文章
  • 5
  • 粉丝
  • 0

热门推荐

文章目录
内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66