[[404495]]

本文轉(zhuǎn)載自微信公眾號(hào)「Bypass」，作者Bypass。轉(zhuǎn)載本文請(qǐng)聯(lián)系Bypass公眾號(hào)。

SAST，即靜態(tài)應(yīng)用程序安全測(cè)試，通過靜態(tài)代碼分析工具對(duì)源代碼進(jìn)行自動(dòng)化檢測(cè)，從而快速發(fā)現(xiàn)源代碼中的安全缺陷。

本文是一個(gè)靜態(tài)源代碼分析工具清單，收集了一些免費(fèi)開源的項(xiàng)目，可從檢測(cè)效率、支持的編程語言、第三方工具集成等幾因素來綜合考慮如何選擇SAST工具。

1、RIPS

一款不錯(cuò)的靜態(tài)源代碼分析工具，主要用來挖掘PHP程序的漏洞。

項(xiàng)目地址：

http://rips-scanner.sourceforge.net

2、SonarQube

一款企業(yè)級(jí)源代碼靜態(tài)分析工具，支持Java、PHP、C#、Python、Go等27種編程語言，而且能夠集成在IDE、Jenkins、Git等服務(wù)。

項(xiàng)目地址：

https://www.sonarqube.org

3、CodeQL

一個(gè)免費(fèi)開源的語義代碼分析引擎和查詢工具，以一種非常新穎的方式組織代碼與元數(shù)據(jù)，可以通過像SQL查詢一樣檢索代碼，并發(fā)現(xiàn)其中的安全問題。

git項(xiàng)目地址：

https://github.com/github/codeql-cli-binaries

4、Find Security Bugs

一個(gè)用于 Java Web 應(yīng)用程序安全審計(jì)的 SpotBugs 插件。

項(xiàng)目地址：

https://find-sec-bugs.github.io/

5、VCG(VisualCodeGrepper)

一種適用于 C++、C#、VB、PHP、Java、PL/SQL 和 COBOL 的自動(dòng)化代碼安全審查工具。

項(xiàng)目地址：

https://sourceforge.net/projects/visualcodegrepp/

6、FindBugs

一款靜態(tài)分析工具，檢查程序潛在bug，在bug報(bào)告中快速定位到問題的代碼上。

項(xiàng)目地址：

http://findbugs.sourceforge.net

7、Cobra

一款源代碼安全審計(jì)工具，支持檢測(cè)多種開發(fā)語言源代碼中的大部分顯著的安全問題和漏洞。

項(xiàng)目地址：

https://github.com/WhaleShark-Team/cobra

8、Hades

一個(gè)靜態(tài)代碼脆弱性檢測(cè)系統(tǒng)，支持java源碼的審計(jì)

項(xiàng)目地址：

https://github.com/zsdlove/Hades

9、Bandit

一個(gè)專門用于查找Python代碼中常見安全問題的工具。

github項(xiàng)目地址：

https://github.com/PyCQA/bandit

10、Brakeman

一個(gè)免費(fèi)的漏洞掃描器，專門為 Ruby on Rails 應(yīng)用程序設(shè)計(jì)。它靜態(tài)分析 Rails 應(yīng)用程序代碼，以在開發(fā)的任何階段查找安全問題。

項(xiàng)目地址：

https://brakemanscanner.org