如何使用SCodeScanner扫描源代码中的关键安全漏洞

关于SCodeScanner

SCodeScanner，即源代码扫描器（Source Code Scaner），它是一款功能强大的安全漏洞扫描工具，该工具专为源代码安全设计，可以帮助广大研究人员扫描项目源代码，并从中寻找出关键安全漏洞。因此，广大研究人员应该在项目产品发布之前使用该工具。

功能介绍

1、支持PHP语言；

2、支持YAML语言；

3、支持将扫描结果发送给类似Jira和Slack之类的漏洞跟踪服务；

4、支持以JSON格式导出扫描结果，可以方便地转发到任何其他的应用程序；

5、支持使用自定义规则，我们可以创建一些php/yaml目录中没有的规则以满足特定场景；

6、支持通过规则扫描高级模式；

支持扫描的漏洞

当前版本的SCodeScanner支持扫描多种内容管理系统（CMS）插件中的关键安全漏洞，其中包括：

CVE-2022-1465

CVE-2022-1474

CVE-2022-1527

CVE-2022-1532

CVE-2022-1604

工具下载

由于该工具基于Python 3开发，因此我们首先需要在本地设备上安装并配置好Python 3环境。接下来，使用下列命令将该项目源码克隆至本地：

git clone https://github.com/agrawalsmart7/scodescanner.git

接下来，切换到项目目录，并通过pip3命令和项目提供的requirements.txt文件安装该工具所需的依赖组件：

cd SCodeScanner

sudo pip3 install requirements.txt

工具使用

接下来，我们只需要在命令行终端中输入下列命令即可运行SCodeScanner，并查看工具的帮助信息：

python3 scscanner.py --help

许可证协议

本项目的开发与发布遵循GPL-3.0开源许可证协议。

项目地址

SCodeScanner：【GitHub传送门】

参考资料

https://github.com/agrawalsmart7/scodescanner/tree/main/src/php

https://github.com/agrawalsmart7/scodescanner/tree/main/src/yaml

https://twitter.com/agrawalsmart7

https://smart7.in/