bugsy

Bugsy Bugsyは、コードのセキュリティ脆弱性を自動的に修正するためのコマンドラインインターフェース（CLI）ツールです。これは、ベンダーに依存しない初の自動セキュリティ脆弱性修正ツールであるMobbのコミュニティエディション版です。Bugsyは、開発者がコードのセキュリティ脆弱性を迅速に特定し、修正できるように設計されています。 Mobbとは？ Mobbは、ベンダーに依存しない初の自動セキュリティ脆弱性修正ツールです。Checkmarx、CodeQL（GitHub Advanced Security）、OpenText...

bugsy

Bugsy Bugsy is a command-line interface CLI tool that provides automatic security vulnerability remediation for your code. It is the community edition version of Mobb, the first vendor-agnostic automated security vulnerability remediation tool. Bugsy is designed to help developers quickly identif...

progpilot

progpilot PHP向けの静的アプリケーションセキュリティテスト SAST インストール 多くのオプションがあります。自分のユースケースに最適なものを選択してください。 PHARリリースを使用する リリースページ から最新のPHARアーカイブをダウンロードします。 ファイルをパスの通った場所に配置し、実行可能にします: chmod +x progpilotvX.Y.Z.phar sudo mv progpilotvX.Y.Z.phar /usr/local/bin/progpilot Dockerを使用する...

sast-scan

はじめに ███████╗ ██████╗ █████╗ ███╗ ██╗ ██╔════╝██╔════╝██╔══██╗████╗ ██║ ███████╗██║ ███████║██╔██╗ ██║ ╚════██║██║ ██╔══██║██║╚██╗██║ ███████║╚██████╗██║ ██║██║ ╚████║ ╚══════╝ ╚═════╝╚═╝ ╚═╝╚═╝ ╚═══╝ Scan...

layne

Layne Layne 是一个自托管的 GitHub App，用于集中管理我们各仓库的安全扫描。由于我们不使用商业化的 SAST/密钥扫描工具，也无法访问 GitHub Enterprise，因此在多个仓库之间维护不同的 GitHub Actions 工作流文件会变得非常困难——尤其是当这些仓库数量不断增长时。相反，我们只需安装一次 Layne，它便会监听拉取请求事件，在服务端运行我们的安全工具，将结果以原生 GitHub Check Run 注释的形式回传，并通知我们安全团队的安全通知频道。 本工具基于 Reddit 的实现。 工作原理...

vulnhawk

AI を活用したコードセキュリティスキャナー。Semgrep や CodeQL が見逃す脆弱性を発見します。 クイックスタート • GitHub Action • 比較 • 対応言語 • FAQ 問題点 従来の SAST ツールはパターンマッチングと AST ルールに依存しています。既知の脆弱性パターンの検出には優れていますが、意図 を推論することは基本的にできません。 API に 20 のエンドポイントがあり、そのうち 19 がリソース操作前に認可を確認している場合、Semgrep はその確認を行っていない 1...

mobileAudit

Mobile Audit 针对 Android APK 的安全分析，从上传到可操作的发现。 Mobile Audit 是一个用于静态应用程序安全测试和恶意软件检查的 Django 应用程序。它提取 APK 元数据，检测有风险的实现模式，按严重程度组织发现，并提供一个专注的工作区用于审查和报告。 快速开始 Docker Compose 运行完整的本地技术栈：Django、PostgreSQL、RabbitMQ、Celery 和 Nginx。 docker compose build docker compose up 服务就绪后，打开 http://localhost:8888。...

SucoshScanny

Sucosh Scanny "Sucosh" は、自動化されたソースコード脆弱性スキャナーSASTであり、PythonFlask-DjangoおよびNodeJs向けの評価フレームワークです。Webアプリケーション開発やソースコード分析プロセスにおいてコードレビューを実行できます。与えられたソースコード内の多くの脆弱性RCE、SSTI、安全でないデシリアライゼーション、SSRF、SQLI、CSRFなどを検出できます。現在のところ、pythonflask,djangoおよびnodejsexpress js.言語の検出モジュールのみが完成しています。将来的には、phpLaravel,...

abap-code-scanner

OWASP ABAP Code Scanner 面向 SAP ABAP 的静态应用安全测试（SAST）。 一个免费、开源的 CLI，用于在自定义 ABAP 代码中查找安全漏洞——支持离线运行和 CI 集成。 版本 版本| 说明| 位置 ---|---|--- 开源 CLI （免费，MIT）| 在本地或 CI 中扫描导出的 ABAP 源代码| 本仓库（见下文） 云端（SAP BTP）| 通过 BTP 目标读取 ABAP 的商业 SaaS| 云端 / BTP 版本 Web（管理控制台）| 通过 JCo / RFC 连接 SAP 的商业 Web SAST| Web 版本 商业版本由 RedRa...

nodejsscan

nodejsscan Static security code scanner SAST for Node.js applications powered by libsast and semgrep. Made with in India Support nodejsscan Donate via Paypal: Sponsor the Project: e-Learning Courses & Certifications OpSecX Node.js Security: Pentesting and Exploitation - NJS Run nodejsscan docker...

scorecard

OpenSSF Scorecard Overview What Is Scorecard? Prominent Scorecard Users View a Project's Score Scorecard's Public Data Using Scorecard Scorecard GitHub Action Scorecard REST API Scorecard Badges Scorecard Command Line Interface Prerequisites Installation Authentication Basic Usage Checks Default...

sast-rules

Semgrepルール これは中央のSemgrepルールリポジトリであり、GitLab semgrepアナライザのSemgrepルールをホストしています。 リポジトリは次のように構成されています： . ├── mappings │ ├── findsecbugs.yml │ ├── eslint.yml │ └── ... ├── rules │ ├── lpgl │ │ ├── java │ │ │ ├── webview │ │ │ │ ├── rule-ignoresslcertificateerror.yml │ │ │ │ ├──...

noir

Hunt every Endpoint in your code, expose Shadow APIs, map the Attack Surface. Documentation • Installation • Usage • Github Action • Contributing • Changelog Noir is a SAST tool that reads source code and extracts the endpoints an application exposes — paths, methods, parameters, headers, cookies...

bearer

ソースコードをスキャンして、主要なセキュリティ およびプライバシー のリスクを検出します。 Bearerは、ソースコードをスキャンしてデータフローを分析し、セキュリティとプライバシーのリスクを特定、フィルタリング、優先順位付けするために設計された静的アプリケーションセキュリティテスト（SAST）ツールです。 Bearerは、無料のオープンソリューションであるBearer CLIと、Cycodeから入手可能な商用ソリューションBearer Proを提供しています。 はじめに - よくある質問 - ドキュメント - バグを報告 !GitHub...

deepsecrets

DeepSecrets - a better tool for secret scanning !WARNING Active development was switched to the creator's fork at https://github.com/ntoskernel/deepsecrets. This repository will not receive any updates...

Callisto

Callisto インテリジェントな自動バイナリ脆弱性解析ツール デモ： Callisto は、インテリジェントな自動バイナリ脆弱性解析ツールです。その目的は、提供されたバイナリを自律的に逆コンパイルし、出力された疑似コードを繰り返し解析して、その疑似Cコード内の潜在的なセキュリティ脆弱性を探すことです。Ghidra のヘッドレスデコンパイラが、バイナリの逆コンパイルと解析部分を駆動します。疑似コード解析はまず Semgrep SAST ツールによって実行され、その後 GPT-3.5-Turbo に転送されて、Semgrep の発見内容の検証と、追加の脆弱性の可能性の特定が行われます。...

Resources-for-Application-Security

Updated post at https://ishaqmohammed.me/posts/resources-for-application-security/ アプリケーションセキュリティのためのリソース アプリケーションセキュリティを始めるための優れたリソース集 注意: ここに挙げたリソースは、私がアプリケーションセキュリティの学習で使用するものです。学習目的でのみ自由に使用してください。提案があれば、TwitterでDMしてください。 開発 アプリケーションセキュリティの書籍とオンラインリソース ハンズオンCTF SASTとDAST アプリケーションのセキュリティ対策...

contrast

Contrast Security 提供的 CodeSec CodeSec 提供： 最快且最准确的 SAST 扫描器。 即时且可操作的扫描结果 — 支持扫描代码和无服务器环境。 通过 GitHub 或 Google 帐户实现无阻碍、无缝的登录流程。几分钟内即可完成从开始到结束的全部过程。 通过对您的 Lambda 函数运行扫描，您可以发现：最小权限身份和访问管理（IAM）漏洞（权限过于宽松的策略）以及修复建议。 安装 NPM： npm install --location=global @contrast/contrast Homebrew： brew tap...

CVE-2022-24449

CVE-2022-24449 Solar Appscreener XXE 建议描述 在 Solar AppScreener SAST 工具至 3.10.4 版本中发现一个问题。未授权的攻击者可能利用安装了受影响版本的主机，通过上传特制的 XML 文件到主机（这些主机的许可证已过期或未安装），从而进行攻击。最低确认的影响是 XXE-SSRF。 附加信息 已在 3.10.4 版本中修复 漏洞类型 CWE-611：XML外部实体引用限制不当 供应商 SOLAR SECURITY LLC https://en.rt-solar.ru/ 受影响产品代码库 受影响版本：Solar Appscreen...

slythestx

🐍 Slythestx La navaja suiza de la seguridad móvil Un framework unificado para análisis estático de código y búsqueda dinámica de vulnerabilidades en iOS y Android. 📖 Tabla de contenido Visión general Características principales Arquitectura Suite de analizadores Inicio rápido Uso Notas de versión...