漏洞发现:代码分析引擎 CodeQL

Posted BUG弄潮儿

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了漏洞发现:代码分析引擎 CodeQL相关的知识,希望对你有一定的参考价值。

codeql 是一门类似 SQL 的查询语言,通过对源码(C/C++、C#、golang、java、javascript、typescript、python)进行完整编译,并在此过程中把源码文件的所有相关信息(调用关系、语法语义、语法树)存在数据库中,然后编写代码查询该数据库来发现安全漏洞(硬编码 / XSS 等)。

CodeQL 本身包含两部分解析引擎 +​​SDK​

  • 解析引擎用来解析我们编写的规则,虽然不开源,但是可以直接在官网下载二进制文件直接使用
  • SDK​完全开源,里面包含大部分现成的漏洞规则,也可以利用其编写自定义规则

1. 安装 CodeQL CLI

CodeQL CLI 是一个可执行的命令行工具,可以使用 CodeQL CLI运行 CodeQL 分析、创造 CodeQL 数据库、开发和测试自定义 CodeQL 查询。

https://github.com/github/codeql-cli-binaries/releases

漏洞发现:代码分析引擎

下载时,根据具体操作系统下载不同版本的CodeQL CLI。下载下来是一个 zip 压缩包,这里解压到如下目录

C:\\jenkins\\codeql-win64

CodeQL CLI 的安装路径到添加到 PATH 环境变量中,方便调用 codeql 命令。

PATH=%PATH%;C:\\jenkins\\codeql-win64

验证安装成功

C:\\Users\\2230>codeql version
CodeQL command-line toolchain release 2.8.2.
Copyright (C) 2019-2022 GitHub, Inc.
Unpacked in: C:\\jenkins\\codeql-win64
Analysis results depend critically on separately distributed query and
extractor modules. To list modules that are visible to the toolchain,
use codeql resolve qlpacks and codeql resolve languages.

2. 下载标准的扫描规则 CodeQL libraries and queries

以下仓库包含了标准的 CodeQL 库和查询语句

https://github.com/github/codeql

下载后是一个 zip 压缩包,解压到如下目录

C:\\jenkins\\codeql-main

3. 安装 VSCode CodeQL 插件

VSCode 的安装也是非常简单的,直接下载下来也是一个 zip 压缩包;直接解压即可。下面在 VSCode 上安装 CodeQL 的插件。

漏洞发现:代码分析引擎

安装成功后

漏洞发现:代码分析引擎

配置安装的codeql 引擎路径

漏洞发现:代码分析引擎

设置 CodeQL CLI 可执行文件 codeql.exe 的安装路径

漏洞发现:代码分析引擎

4. 进行项目漏洞扫描

  • 下载项目源码

比如现在要对xxl-job这个项目进行漏洞扫描

git clone https://gitee.com/xuxueli0323/xxl-job
  • 创建数据库

进入目标代码目录,这里进入

D:\\xxl-job

创建源码数据库

codeql database create xxljob --language=java --command="mvn clean install"

--language要根据具体项目的编译语言指定;另外--command​参数如果不指定,会使用默认的编译命令和参数。language 对应关系如下

Language

Identity

C/C++

cpp

C#

csharp

Go

go

Java

java

javascript/Typescript

javascript

Python

python

漏洞发现:代码分析引擎

  • 在 VSCode 打开扫描规则 CodeQL libraries and queries

漏洞发现:代码分析引擎

  • 在 VSCode 添加数据库

漏洞发现:代码分析引擎

添加之后

漏洞发现:代码分析引擎

  • 执行规则扫描

选择具体语言的规则进行扫描,例如:java语言的规则。ql​后缀的文件是规则扫描文件

C:\\jenkins\\codeql-main\\java\\ql\\src\\Security\\CWE

漏洞发现:代码分析引擎

执行扫描

漏洞发现:代码分析引擎

可以一次选择一条或者多条规则就行扫描;但是一次性不能超过 20 条规则。点击CodeQL:Run Queries in Selected Files​后,弹出一个对话框,选择Yes​;即可执行扫描操作。

5. 附

使用 VSCode 图形化工具发现还不如直接使用命令快捷、方便

  • 创建数据库
codeql database create databaseName --source-root=D:/xxljob --language=java
  • 更新数据库
codeql database upgrade databaseName
  • 执行扫描规则
codeql database analyze databasePath codeql-repo/java --format=csv --output=result.csv

codeql-repo/java :java 扫描规则

--format:结果输出格式

--output:结果文件输出路径

以上是关于漏洞发现:代码分析引擎 CodeQL的主要内容,如果未能解决你的问题,请参考以下文章

CodeQL代码静态污点分析引擎排查漏洞模式

CODEQL使用简介

GitHub发布安全漏洞“死对头”CodeQL,“解放”程序员双手

GitHub免费提供机器学习扫描代码漏洞,现已支持JavaScript/TypeScript

因被曝严重漏洞,Avast紧急禁用其 JavaScript 引擎

白盒代码审计工具——CodeQL安装与使用教程Linux+Windows