opensecurity/njsscan

njsscan

概述

njsscan是一款静态应用安全测试(SAST)工具，专为Node.js应用设计。它结合了https://github.com/ajinabraham/libsast%E7%9A%84%E7%AE%80%E5%8D%95%E6%A8%A1%E5%BC%8F%E5%8C%B9%E9%85%8D%E5%99%A8%E5%92%8Chttps://github.com/returntocorp/semgrep%E7%9A%84%E8%AF%AD%E6%B3%95%E6%84%9F%E7%9F%A5%E8%AF%AD%E4%B9%89%E4%BB%A3%E7%A0%81%E6%A8%A1%E5%BC%8F%E6%90%9C%E7%B4%A2%E8%83%BD%E5%8A%9B%EF%BC%8C%E8%83%BD%E5%A4%9F%E6%9C%89%E6%95%88%E8%AF%86%E5%88%ABNode.js%E6%BA%90%E4%BB%A3%E7%A0%81%E4%B8%AD%E7%9A%84%E4%B8%8D%E5%AE%89%E5%85%A8%E4%BB%A3%E7%A0%81%E6%A8%A1%E5%BC%8F%E3%80%82

核心功能

• 多格式输出：支持JSON、SARIF 2.1.0、SonarQube兼容格式及HTML输出
• 灵活配置：通过.njsscan配置文件自定义扫描规则、忽略路径和文件
• 安全控制检查：可启用缺失安全控制检查功能
• CI/CD集成：支持GitHub Action、GitLab CI/CD、Travis CI等主流持续集成平台
• Python API：提供编程接口，方便集成到自定义工作流
• 多平台支持：兼容Linux和macOS系统（需Python 3.7+）

安装要求

• Python 3.7或更高版本
• 仅支持Linux和macOS系统
• 通过PyPI安装：pip install njsscan

命令行选项

bash
$ njsscan
usage: njsscan [-h] [--json] [--sarif] [--sonarqube] [--html] [-o OUTPUT] [-c CONFIG] [--missing-controls] [-w] [-v] [path ...]

位置参数:
  path                  源代码文件或目录路径

可选参数:
  -h, --help            显示帮助信息并退出
  --json                设置输出格式为JSON
  --sarif               设置输出格式为SARIF 2.1.0
  --sonarqube           设置为SonarQube兼容格式
  --html                设置输出格式为HTML
  -o OUTPUT, --output OUTPUT
                        保存结果的输出文件名
  -c CONFIG, --config CONFIG
                        .njsscan配置文件位置
  --missing-controls    启用缺失安全控制检查
  -w, --exit-warning    警告时返回非零退出码
  -v, --version         显示njsscan版本

使用示例

基本扫描命令：

bash
$ njsscan test.js
- Pattern Match ████████████████████████████████████████████████████████████ 1
- Semantic Grep ███████████████████████████ 160

njsscan: v0.1.9 | Ajin Abraham | opensecurity.in
╒═════════════╤═══════════════════════════════════════════════════════════════════════════════════════════════╕
│ RULE ID     │ express_xss                                                                                   │
├─────────────┼───────────────────────────────────────────────────────────────────────────────────────────────┤
│ OWASP       │ A1: Injection                                                                                 │
├─────────────┼───────────────────────────────────────────────────────────────────────────────────────────────┤
│ CWE         │ CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')  │
├─────────────┼───────────────────────────────────────────────────────────────────────────────────────────────┤
│ DESCRIPTION │ Untrusted User Input in Response will result in Reflected Cross Site Scripting Vulnerability. │
├─────────────┼───────────────────────────────────────────────────────────────────────────────────────────────┤
│ SEVERITY    │ ERROR                                                                                         │
├─────────────┼───────────────────────────────────────────────────────────────────────────────────────────────┤
│ FILES       │ ╒════════════════╤═══════════════════════════════════════════════╕                            │
│             │ │ File           │ test.js                                       │                            │
│             │ ├────────────────┼───────────────────────────────────────────────┤                            │
│             │ │ Match Position │ 5 - 46                                        │                            │
│             │ ├────────────────┼───────────────────────────────────────────────┤                            │
│             │ │ Line Number(s) │ 7: 8                                          │                            │
│             │ ├────────────────┼───────────────────────────────────────────────┤                            │
│             │ │ Match String   │ const { name } = req.query;                   │                            │
│             │ │                │     res.send('<h1> Hello :' + name + "</h1>") │                            │
│             │ ╘════════════════╧═══════════════════════════════════════════════╛                            │
╘═════════════╧═══════════════════════════════════════════════════════════════════════════════════════════════╛

配置说明

通过项目根目录的.njsscan文件或--config参数指定的配置文件自定义扫描行为：

yaml
---
- nodejs-extensions:
  - .js

  template-extensions:
  - .new
  - .hbs
  - ''

  ignore-filenames:
  - skip.js

  ignore-paths:
  - __MACOSX
  - skip_dir
  - node_modules

  ignore-extensions:
  - .jsx

  ignore-rules:
  - regex_injection_dos
  - pug_jade_template

  severity-filter:
  - WARNING
  - ERROR

抑制发现结果

在触发问题的代码行添加注释 // njsscan-ignore: rule_id1, rule_id2 可忽略指定规则：

javascript
app.get('/some/redirect', function (req, res) {
    var target = req.param("target");
    res.redirect(target); // njsscan-ignore: express_open_redirect
});

Docker使用

拉取预构建镜像

bash
docker pull opensecurity/njsscan
docker run -v /本地源代码路径:/src opensecurity/njsscan /src

本地构建镜像

bash
docker build -t njsscan .
docker run -v /本地源代码路径:/src njsscan /src

CI/CD集成

GitHub Action

创建文件 .github/workflows/njsscan.yml：

yaml
name: njsscan
on:
  push:
    branches: [ master, main ]
  pull_request:
    branches: [ master, main ]
jobs:
  njsscan:
    runs-on: ubuntu-latest
    name: njsscan check
    steps:
    - name: Checkout the code
      uses: actions/checkout@v2
    - name: nodejsscan scan
      id: njsscan
      uses: ajinabraham/njsscan-action@master
      with:
        args: '.'

GitLab CI/CD

在 .gitlab-ci.yml 中添加：

yaml
stages:
    - test
njsscan:
    image: python
    before_script:
        - pip3 install --upgrade njsscan
    script:
        - njsscan .

Travis CI

在 .travis.yml 中添加：

yaml
language: python
install:
    - pip3 install --upgrade njsscan
script:
    - njsscan .

Python API

python
>>> from njsscan.njsscan import NJSScan
>>> node_source = '/node_source/true_positives/sqli_node.js'
>>> scanner = NJSScan([node_source], json=True, check_controls=False)
>>> scanner.scan()
{
    'templates': {},
    'nodejs': {
        'node_sqli_injection': {
            'files': [{
                'file_path': '/node_source/true_positives/sqli_node.js',
                'match_position': (1, 24),
                'match_lines': (4, 11),
                'match_string': 'var employeeId = req.foo;\n\nvar sql = "SELECT * FROM trn_employee WHERE employee_id = " + employeeId;\n\n\n\nconnection.query(sql, function (error, results, fields) {\n\n    if (error) {\n\n        throw error;\n\n    }\n\n    console.log(results);'
            }],
            'metadata': {
                'owasp': 'A1: Injection',
                'cwe': "CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')",
                'description': 'Untrusted input concatinated with raw SQL query can result in SQL Injection.',
                'severity': 'ERROR'
            }
        }
    },
    'errors': []
}

nodejsscan SAST

nodejsscan基于njsscan构建，提供完整的漏洞管理用户界面及其他集成功能。详情参见https://github.com/ajinabraham/nodejsscan%E3%80%82