PHP 오픈소스 분석툴(가장 최신)
2019 Codecat https://github.com/CoolerVoid/codecat
- 현재까지 기능이 쓸데없이 불편함
2015 WAP http://awap.sourceforge.net/
- 단순 TAINT 룰 존재, AST분석
- 실행안됨
2017 RIPS http://rips-scanner.sourceforge.net/
- 단순,직관적, regx:O, UI편리
- cfg:X, 객체지향지원:X, 기본룰X
- 리눅스/윈도우 호환, 웹에서 구동, php언어로 작성됨
- 유료버전 따로 있음/ 구버전까지만 지원하기 때문에 이건 별로임
Compared FeatureRIPS 0.5Next Generation
| Supported PHP Language | PHP 3-4, no OOP | all, PHP 3-7 |
| Static Code Analysis | Only Token-based | State-of-the-art |
| Analysis Precision | Low | Very High |
| PHP Version Specific Analysis | No | Yes |
| Scales to Large Codesizes | No | Yes |
| API / CLI Support | No | Yes |
| Continuous Integration | No | Yes |
| Compliance / Standards | No | Yes |
| Store Analysis Results | No | Yes |
| Export Analysis Results | No | Yes |
| Issue Review System | No | Yes |
| Realtime Results | No | Yes |
| Vulnerability Trends | No | Yes |
| Detects Latest Risks | No | Yes |
| Detects Code Quality Issues | No | Yes |
| Detects Misconfigurations | No | Yes |
| Detects Complex Vulnerabilities | Limited | Yes |
| Supported Issue Types | 15 | >200 |
| Speed | Fast | Fast |
2019 graudit https://github.com/wireghoul/graudit
- 여러 정규식 룰 스캔 지원
- cli 기반임, 매칭되는 코드 라인 표시
2018 progpilot https://github.com/designsecurity/progpilot
- php서버에서 구동해야됨
- 룰 커스터마이징이 데테일함
- 다른 툴보다 Complex, 개발 능력 필요
- 제일 쓸만한 툴 같아서 하루종일 매다려 봤는데 툴이 왜 안되는지 모르겠다.
- php 필드 셋팅된 파일을 인식하지 못함, 폴더만 인식함
'모의해킹' 카테고리의 다른 글
| OHS(Oracle HTTP Server) ServerToken 제거 (0) | 2020.08.03 |
|---|---|
| cURL 명령어 정리 (0) | 2020.08.03 |
| LFI & File Download 취약점과 OS 사용자의 디렉토리 권한 (0) | 2020.08.03 |
| httpd.conf 접근제어 order 순서 테스트 (0) | 2020.08.03 |
| [SPRING] web.xml 접근 취약점을 통한 정보 누출 (0) | 2020.08.03 |