⌨️ Команда недели

Привет! Получили доступ к исходникам или нашли открытый репо. Вместо ручного грепа по коду semgrep за минуты находит потенциальные уязвимости по готовым правилам.

semgrep --config=p/security-audit --config=p/secrets . --output results.json --json

Прогоняет весь код в текущей директории по двум наборам правил и выдаёт структурированный список находок.

👨‍💻 Что здесь происходит.

--config=p/security-audit - правила из реестра semgrep: SQL-инъекции, XSS, небезопасная десериализация, hardcoded credentials --config=p/secrets - ищет токены, ключи и пароли прямо в коде
. - текущая директория рекурсивно
--json - машиночитаемый вывод, удобно для дальнейшей обработки

Для быстрого просмотра без JSON:

semgrep --config=p/security-audit . --severity=ERROR

P.S Самые интересные находки обычно в p/secrets - разработчики регулярно коммитят токены AWS, Slack и GitHub прямо в код. Semgrep это поймает быстрее чем ручной поиск по истории коммитов.

Используете статический анализ в пентесте? 👇

#semgrep #КомандаНедели #Пентест
👍 Белый хакер