web-dev-qa-db-ja.com

PHPコードの自動セキュリティ監査を実行するためのいくつかの優れた無料ツールは何ですか？

今しばらく探していて、足りなくなってきました。私が見つけた最も有望なものはSpike PHPで、これはもう機能していないようです。 SQLインジェクションやXSSなどの潜在的なリスクについてコードをスキャンしたいと思っています。ほとんどのコードを手動で実行しましたが、数十万行のコードを使用しているため、見落としていることは間違いありません。可能であれば、ライブサーバーにインストールするのではなく、ローカルマシンにダウンロードしてコードを分析できるツールはありますか（そうでない場合は必須ではありません）？

appsectoolsphpcode-review
6
James Simpson

PHPと呼ばれる [〜＃〜] rips [〜＃〜] のための静的コード分析ツールがあります。私はまだそれを使用する機会がありませんでしたが、しかし、それはあなたが何をしようとしているのに適した種類の領域にあるように思えます。

商用ツールの面では、私の知る限り、Fortify SCAはPHPをサポートしています。

5
Rory McCune

チェックアウト [〜＃〜] yasca [〜＃〜] 。自分のサイトから：「栄光のgrepスクリプト」と「他のオープンソースツールのアグリゲーター」です。これは過去のセキュリティ問題の発見に成功しましたが、以前の投稿に同意する必要があります。私が実際に試した市販の選択肢は、いくつかの前進です。

3
TobyS

IBMの商用ツールであるAppScan SourceもPHPをサポートしています。

2
Aaron

残念ながら、無料のツールはそれほど素晴らしいものではありません。それらはかなり制限されており、セキュリティの初心者にはそれほど簡単に使用できません。また、潜在的なセキュリティの問題の範囲が限られています。

Burp Suiteなどの無料のウェブペンテスティングツールを見ることができます。その他の推奨事項については、たとえば、このサイトの次の質問を参照してください： セキュリティ評価 、 ペンテストツール 。ただし、対象範囲が限られているため、多くの脆弱性を見逃してしまうことを認識してください。

2
D.W.

Spike PHP Security Audit Tool は、PHPコードでセキュリティ問題をスキャンするための別の静的分析ツールです。

0
D.W.
  • Acunetix
  • 日光
  • ネッスス
  • ワピティ
  • QualysGuard WAS
  • w3af

これらはあなたのサーバー/ウェブサイトをスキャンして監査し、不安を返します。彼らは非常に便利です。

0
h00j