⌨️ Команда недели
⌨️ Команда недели Привет! Получили доступ к исходникам или нашли открытый репо. Вместо ручного грепа по коду semgrep за минуты находит потенциальные уязвимости по готовым правилам. semgrep --config=p/security-audit --config=p/secrets . --output results.json --json Прогоняет весь код в текущей директории по двум наборам правил и выдаёт структурированный список находок. 👨💻 Что здесь происходит. --config=p/security-audit - правила из реестра semgrep: SQL-инъекции, XSS, небезопасная десериализация, hardcoded credentials --config=p/secrets - ищет токены, ключи и пароли прямо в коде . - текущая директория рекурсивно --json - машиночитаемый вывод, удобно для дальнейшей обработки Для быстрого просмотра без JSON: semgrep --config=p/security-audit . --severity=ERROR P.S Самые интересные находки обычно в p/secrets - разработчики регулярно коммитят токены AWS, Slack и GitHub прямо в код. Semgrep это поймает быстрее чем ручной поиск по истории коммитов. Используете статический анализ в пентесте? 👇 #semgrep #КомандаНедели #Пентест 🤖Бесплатный ChatGPT