Как проверить чужой код на безопасность, если не особо разбираешься во всех тонкостях языка?

Question

[tendkuh]

Практически вся разработка в вэб в последнее время сводится к копипасту кода из SO
Как обезопасить себя от "дырявого", или небезопасного кода
Есть ли в сети специализированный сервис, который проверяет код на безопасность?

Comments

[Максим Федоров]

Без навыка самостоятельно думать/писать и без копипасты с SO это невозможно

[Максим Федоров]

Ну или скопируйте с SO решение и на этот вопрос

[Ruslan Ruslanov]

что в вашем понимании "дырявый" код?

[tendkuh]

Ruslan Ruslanov,

[PyNen]

tendkuh, это определение наивно. Читай https://www.securitylab.ru/news/500380.php
И комментарии тоже

Answer 1

[Moskus]

Ну опять это MMORPG-мышление.

Для того, чтобы решить проблему, нужно уметь решать проблему. Или отдать её тому, кто умеет её решать.
Потому что любой автоматический анализатор кода также требует понимания, какие предупреждения он выдает и почему выдает.

Код, который входит в большие проекты и/или публичен не становится от этого хорошим по волшебству. Он становится лучше только от того, что на него посмотрело больше хороших программистов, а не тех, кто научился писать hello world.

Простая публичность этого не гарантирует, а только слегка увеличивает вероятность. Именно потому, есть довольно качественные opensource проекты, а есть - глюк на глюке, несмотря на большое число участников.

Собственное умение хорошо программировать также повышает вероятность получить качественный код, как и чужое. А собственное неумение - понижает её, несмотря ни на что другое, просто по статистическим законам надёжности.

Answer 2

[Рональд Макдональд]

g: статический анализ кода.
Анализаторы тоже есть, даже бесплатные.

Comments

[Дмитрий]

только стоит иметь в виду, что они не все ловят

[Рональд Макдональд]

Дмитрий, ну в ситуации ТС это лучший выход.

[Rsa97]

Не покажет намеренно оставленные дыры в коде, максимум - случайно допущенные ошибки, да и то не все.

[tendkuh]

Рональд Макдональд, любой может накосячить, на ровном месте облажаться, человеческий фактор не отменяли

[Рональд Макдональд]

tendkuh, я разве утверждал обратное? :)

[tendkuh]

Рональд Макдональд, на знаю что вы имели ввиду, но похоже что вы намекаете что таких сервисов для тестирования кодов "как грязи", но так и ни одного почемуто не привели в качестве примера хотябы, ни вы, никто другой, от которого можно будет отталкиваться дальше искать похожие

[Рональд Макдональд]

tendkuh,

вы намекаете что таких сервисов для тестирования кодов "как грязи"

Нет.

так и ни одного никто почемуто не привели в качестве примера хотябы

Во-первых, вы не спрашивали.
Во-вторых, у нищих слуг нет, берём Гугл и ручками забиваем то, что я написал.

Нуок, PVS.

[tendkuh]

Рональд Макдональд,

Гугл и ручками забиваем то, что я написал.
Нуок, PVS.

сразу слабо было пример, три буквы в качестве примера "P.V.S." 3 буквы сложнее печатать, чем ленты?))

[Рональд Макдональд]

tendkuh, посонам во дворе "слабокай".
Я не рыбу даю, а удочку.

[tendkuh]

Rsa97,

случайно допущенные ошибки, да и то не все

Хоть что-то дал в отличие от других, а на безрыбье и уксус сладок!

Answer 3

[Rsa97]

Прекратить копипастить и начать писать код самостоятельно.

Comments

[tendkuh]

Ага, и на Pure С, это какая-то шутка, а не ответ, не собираюсь ничего писать руками, я что сумасшедший по вашему?

[Максим Федоров]

tendkuh, спасибо за рабочие места!

[Рональд Макдональд]

Прекратить копипастить и начать писать код самостоятельно.

Очень смешной совет на сайте, где 80% вопросов прилетают от веб-программистов. Это как сказать пчёлам: "Ну-ка хватит таскать мёд!".

[Антон Швец]

Рональд Макдональд, ну не най, я уже не помню когда в последний раз что-то копипастил.

[tendkuh]

Антон Швец,

ну не най, я уже не помню когда в последний раз что-то копипастил.

от этого ваш код стал менее дырявым? о_О

[Дмитрий]

не собираюсь ничего писать руками, я что сумасшедший по вашему

tendkuh, фриланс биржи ждут Вас с распростёртыми руками)))
Учите язык программирования, тогда не будет возникать таких вопросов

[tendkuh]

Максим Федоров,

спасибо за рабочие места!

Спасибо за "понты" и "саморекламу", но думаю это тут не уместно, по смыслу
меня умиляют подобные высказывания, с юношеским максимализмом
и заявления от людей, которые бьют себя в грудь, и утверждают, что способны
написать более безопасный код, чем толпа скажем из человек ста, или тысячи
такие и подобные ответы, как правило собирают кучу лайков, но они бестолковые

[Антон Швец]

tendkuh, я честно говоря не вижу каким путем стековерфлоу поможет мне в безопасности.
Да и вообще поможет в чем-то большем, чем "нагуглить ошибку в randomname библиотеке" или подставить корректный конфиг.

[tendkuh]

Антон Швец, просто код публичный, чаще более безопаснее, если его обсмоктало куча людей, чем тот код, который ты тихонько потирая "лапки" с "ухмылкой" пишешь в одиночку, не так ли

[Антон Швец]

tendkuh, лол. нет. Попросту пишешь в основном бизнес логику, которой нигде разумеется нет. Какой нафиг публичный код, это очевидные вещи.

[tendkuh]

Антон Швец,

бизнес логику, которой нигде разумеется нет. Какой нафиг публичный код, это очевидные вещи

расскажите это куче банков, которые уходят от винды на убунту, по вашему они так "развлекаются", или чтото их вынудило принять такое глобальное решение?

[Adamos]

tendkuh, от того, что написанный кем попало код с SO скопипастила куча неумех, безопаснее он не станет. Совершенно.
Как заметил Шахрин совершенно по другому поводу, аккорды Чай-Ф в интернете все одинаково перевраны. Невзирая на тысячи глаз и миллионы мух.

[tendkuh]

Adamos, nothing is uncrackable, i know, but there are more things to analysing all the code, I GUESS a foolproof to start, at least

[Adamos]

tendkuh, чтобы выражать мысли на чужом языке, нужно не только хорошо знать язык, но и уметь выражать мысли. Боюсь, я не понял, что вы хотели выразить этой корявой фразой.

[Moskus]

обсмоктало

Это какой язык?

[Антон Швец]

tendkuh, причем тут вообще винда, убунта и как это связано с безопасностью и копипастой?

[tendkuh]

Adamos,

не только хорошо знать язык, но и уметь выражать мысли

nothing is uncrackable, i know, but there are more things to analysing all the code, I GUESS a foolproof to start, at least

я знаю что нет ничего не взламываемого, но должно быть достаточно много способов тестирования кода, по меньшей мере (я так полагаю), хотябы анализ на "защиту от дурака" для начала

[Adamos]

Moskus, это немецкое "smeckt gut" в восточно-славянской обвеске

[tendkuh]

Moskus, JS!

[Adamos]

tendkuh, вы полагаете безопасность кода какой-то абстрактной величиной, которую можно определить и проверить компьютером от сих до сих.
В реальности же совершенно безопасный код, позаимствованный вами без понимания того, что и как он делает, создаст в вашем проекте дыру размером с Золотые Ворота. Возможно, такую же заметную... для того, кто знает, как смотреть.

[tendkuh]

Adamos, речь не идёт о "глубоком анализе логики", суть в том, чтобы надыбать сервис, который очевидные вещи выделит "красным цветом", типовые огрехи, сервис через который можно прогонять куски кода, хотябы на "защиту от дурака"

[Adamos]

tendkuh, боты влезают не в куски кода. Внезапно.
Обычно уязвимость - это зазор между тем, что программист имел в виду - и тем, что он реально написал. А уж если программист сам не в курсе, что именно он написал...

[tendkuh]

Adamos,

Обычно уязвимость - это зазор между тем, что программист имел в виду - и тем, что он реально написал.

ага, проблема сын мой в контроллере, который дрыгает щупальцами между сидением и монитором, ну камон

[Adamos]

tendkuh, ну вот, сами же все знаете. Добавляем второй трюизм - о том, что главные проблемы сложных систем происходят на стыках их компонентов - и видим, что копипастер кусков с SO просто-таки обречен лепить безнадежно дырявые проекты. Даже из вполне приличного (по частям) кода.

[tendkuh]

Adamos,

[Adamos]

tendkuh, ну, а если чайник вместо самообучения еще и мается самоутверждением... lasciate ogni speranza, чо.

[Moskus]

Adamos, это не самоутверждение, а самоуверенность. "На всё должно быть автоматическое решение (просто вы, лохи, его не знаете, а ещё эксперты)". И так далее. А очевидное, но противоречащее собственному мнению - это "скучно и нудно". Видали тут такое сотни раз уже.

[tendkuh]

Moskus,

На всё должно быть автоматическое решение

Не на всё, а только на прогонку кусков кода для выявления типичных уязвимостей. "Решения для всего" не надо, сильно тормозить будет железом не закидаешь

[Moskus]

tendkuh, это возражение - ни о чём вообще.

[tendkuh]

Moskus, "ни о чём вообще" ваши ненужные комментарии, вон человек ответ дал выше, отметил решением, пока!

[Moskus]

tendkuh, формально - это ответ, только вам он не поможет, потому что чтобы пользоваться такими инструментами, нужно знать, что они делают. А так - вы будете вроде тех frontend-разработчиков, которые тут вечно про подгонку под Google PageSpeed спрашивают, будучи уверены, что им это поможет.

[Adamos]

tendkuh, ну, вот вам типичнейшая веб-уязвимость - SQL-инъекция.
Тут у вас код, разбирающий $_POST, тут класс, в котором собираются и обрабатываются введенные данные, тут другой класс, выполняющий запись этих данных в базу (конструируя настолько сложный запрос, что все равно приходится опускаться до голого SQL). Я не говорю, что это хорошо, просто допустим, что это так.
В одном (и только одном) из этих трех мест введенные данные, как всем известно, нужно "заэскейпить".
Вопрос - где именно вам робот должен что-то подчеркнуть?

[tendkuh]

Adamos,

чайник вместо самообучения еще и мается самоутверждением

Чайник + Самообучение/Самоутверждение = Самовар

[Adamos]

tendkuh, вы отметили решением предложение воспользоваться статическим анализатором кода?
Возможно, вы просто не в курсе, что в любой приличной IDE он и так идет из коробки...
И да, практически ни к одному тегу, налепленному вами на вопрос, он никакого отношения не имеет.

[tendkuh]

Adamos, он ответил по крайней мере "хоть чтото", "пример продукта", хоть какую либо дал зацепку, по которой наверное можно будет нагуглить чтото дальше, примерно это и хотел узнать, простой пример, хоть и не совсем то, но хоть чтото похожее на то что я ожидал увидеть в ответе, just the one fucking buzzword you know...

Answer 4

[Robur]

Реальный вариант только один: Нанять/уговорить того, кто разбирается.
Если он вам не подходит - значит вы не очень серьезны насчет проекта, значит вам и безопасность не сильно актуальна.

Answer 5

[PyNen]

Попробуй обратиться в лабораторию комплексной защиты объектов информатизации. Этому учатся годами. По этому запросу точно найдешь. Я уже искал. А еще посмотри канал Хауди Хо. Там про уязвимости есть (не только sql-инъекции). Там про js есть.

Comments

[PyNen]

https://m.vk.com/away.php?to=https%3A%2F%2Fyoutu.b...

https://m.vk.com/away.php?to=https%3A%2F%2Fyoutu.b...

[PyNen]

Сам искал по php

[PyNen]

Профессия "комплексная защита объектов информатизации" одна из самых оплачиваемых профессий. А ты - никто. Такие пентестеры оцениваются в 300 000 рублей в месяц. По окончанию института тебе предложат работу стажером пентестером. Зарплата 20 000 рублей в первый год. Во второй год примерно 45 000 рублей. С третьего 80 000 рублей. А 300 000 надо заслужить.

[PyNen]

https://xakep.ru/2019/08/23/nezumi-hacking-guide-5/ как вариант. Полная статья на этом сайте Digital Publishing Platform for Magazines, Catalogs, and more - Issuu.
Куратор, - это четкий ответ.