msvn Mar 18 at 17:46

Почему SAST на правилах не видит 50% уязвимостей: опыт аудита собственной кодовой базы

Medium

5 min

9.4K

Information Security * Perfect code * Programming *

Comments 3

Andrey2008 Mar 18 at 18:38

О, а мы как раз на днях вебинар на эту тему делали - Механизмы в SAST-решениях для выявления дефектов из OWASP Top Ten.

Wowhere Mar 19 at 11:48

Хорошая статья но не хватает главного, неясно какой именно инструмент использовался. Это был Joern или нечто самописное использующее CPG либу типа https://github.com/Fraunhofer-AISEC/cpg ?

msvn Mar 19 at 12:04

Изначально это был joern, а потом я решил его переписать - через пару статей расскажу подробности. Либу не использовал, в основе только tree-sitter - все остальное - чистый golang практически без внешних зависимостей (за исключением API-шки DuckDB)