Если сырки (все или частично) таргета попали в руки, то каким SAST тулом первоначально по быстрому анализируете?

[zdestuta]

Я про такие штуки как, например, semgrep.
Он вполне достойно (даже free версия) ищет косяки путём SAST.

Может что-то поинтереснее кто порекомендует?
Как вообще сырки (методика) пробегаете, ну вот даже "глазками" ? чего в первую очередь ищете?

Ну как пример:

• первым делом нахожу "ручки" они же ендпоинты, разумеется инетерсуют те что с параметрами
• далее смотрю параметры, ищу чего забыли экранировать (блин... такой гемор... этож end-to-end надо трекать куда там чо дальше передаётся)
• если вижу где-то конкатенацию строк SQL кода и параметров без экранирования или со слабым экранированием = это верняк SQLi
• если где-то параметр подставляется "как есть" и выплёвывается обрытно = это часто XSS
• ... ваши варианты? ...

 

[noonenowhere000]

Gemini спертый с каких то React CVE уязвимых серваков.

В основном ты же понимаешь где +- доступные тебе ручки делаются, соответственно их и прогоняешь, условные обращения к бд, аутентификацию, или какой-либо функционал.

 

[kosh_e4ka]

может подскажешь какой то гайд по семгрепу для поиск лфи рфи скулей и рсе?

 

[zdestuta]

может подскажешь какой то гайд по семгрепу для поиск лфи рфи скулей и рсе?

он бесплатный даже "из коробки" много выдаёт кстати
сам он на питоне, но обрабатывать может и PHP и JS например
я лучше ничего не находил для авто-SAST пока
а самое главное его запустить просто как нехрен делать прям, ну то есть порог вхождения небольшой, но он выдаёт опусы большие читать утомительно, хотя вот их можно в ИИ засунуть как раз

 

[mike123321]

он бесплатный даже "из коробки" много выдаёт кстати
сам он на питоне, но обрабатывать может и PHP и JS например
я лучше ничего не находил для авто-SAST пока
а самое главное его запустить просто как нехрен делать прям, ну то есть порог вхождения небольшой, но он выдаёт опусы большие читать утомительно, хотя вот их можно в ИИ засунуть как раз

ты хочешь уязы поискать, сперва састом? что верно а потом дастом? састом определить куда более точечно хуярить потоком(запросы например), ну это думаю классика для поиска уязов

 

[zdestuta]

ты хочешь уязы поискать, сперва састом? что верно а потом дастом? састом определить куда более точечно хуярить потоком(запросы например), ну это думаю классика для поиска уязов

я уже ищу semgrep'ом обычно, иногда ИИ точечно привлекаю, но у ИИ контекст мал поэтому только точечно когда сам "глазками" неладное заподозрил
просто подумал тут посоветуют может что-то "позабористее" чем semgrep
причём при точном пруфе, находки SAST же всё равно глазами смотришь в итоге обычно, - DAST уже не обязателен - можно руками пэйлоад сформировать и "бахнуть прямой наводкой".