代码审计开源工具推荐

Posted 2021-12-03 坚果前端

这里是坚果前端小课堂，欢迎关注公众号“坚果前端”，

2021年11.30日，天气晴朗！

问题引出

铁汁们， 跟大家咨询一个事情，俺想找几个开源免费的代码审计工具，有没有收藏过大佬

定义

代码审计工具是一类辅助我们做白盒测试的程序，它可以分很多类，例如安全性审计以及代码规范性审计，等等。 刚好之前有收藏，今天给大家带来四款工具，

1.工具名称VisualCodeGrepper

下载地址：

https://sourceforge.net/projects/visualcodegrepp/?source=directory

工具介绍：

VCG是一种用于C++、C语言、VB、php、java、PL/SQL和COBOL的自动代码安全审查工具，其目的是通过识别坏/不安全代码来加快代码审查过程。它有一些特性，应该使它有用。除了执行一些更复杂的检查外，它还为每种语言提供了一个配置文件，基本上允许您添加任何想要搜索的坏函数（或其他文本）。它尝试在注释中查找可能表示代码中断的短语，并提供统计数据和饼图（针对整个代码库和单个文件），显示代码、空白、注释、“ToDo”式注释和错误代码的相对比例。

2.工具名称：CodeScan

下载地址：

https://marketplace.visualstudio.com/items?itemName=codescansf.codescan-vscode

​

工具介绍：

CodeScan是Visual Studio的扩展，它向开发人员提供有关Apex和VisualForce代码中注入的新错误和质量问题的动态反馈，还是一种静态分析工具，它允许将代码质量保证完全集成到任何工作流中，并根据任何特定组织的需求进行完全定制，是最有效的软件质量保证、静态程序分析和评审工具。

3.工具名称：Flawfinder

下载地址：

https://dwheeler.com/flawfinder/#prepackaged

​

工具介绍：

一个开源免费工具，专门用于查找Python代码中的常见安全问题。它使用适当的插件处理每个文件，并在python代码中生成有关可能的安全性错误的详细报告。它是带有Apache License 2.0的开源软件。可以在开发过程中或之后使用此工具，以在将代码投入生产之前查找Python代码中的常见安全问题，或使用此工具来分析现有项目并查找可能的缺陷

4.工具名称：Brakeman Rails

下载地址：

https://www.oschina.net/p/brakeman

工具介绍：

一个免费的开放源代码漏洞扫描程序，专门为Ruby on Rails应用程序设计。它是一个静态代码分析器，可在开发过程中的任何阶段扫描Rails应用程序代码以发现安全问题。此工具可以查看应用程序的源代码，扫描应用程序代码后，它将针对所有安全问题生成详细的报告。