MOMO CODE SEC INSPECTOR

ゝ一世哀愁。 2024-03-17 23:27 82阅读 0赞

本插件作为Java项目静态代码安全审计工具，侧重于在编码过程中发现项目潜在的安全风险，并提供一键修复能力。

本插件利用IDEA原生Inspection机制检查项目，自动检查当前活跃窗口的活跃文件，检查速度快，占用资源少。

插件提供的规则名称均以"**Momo**"开头。

#### 目录 ####

1.  [版本支持][Link 1]
2.  [安装使用][Link 2]
3.  [效果展示][Link 3]
4.  [插件规则][Link 4]
5.  [贡献代码][Link 5]
6.  [注意事项][Link 6]
7.  [关于我们][Link 7]

#### 版本支持 ####

Intellij IDEA ( Community / Ultimate ) >= 2018.3

**已停止对2017.\*的支持**

#### 安装使用 ####

##### IDEA插件市场安装 #####

IDEA插件市场搜索"**immomo**"安装。

![01965acd2758a756f0902bbce32f8e3b.jpeg][]

##### 使用：方法一 #####

该插件会在您编码过程中自动扫描当前编辑的代码，并实时提醒安全风险。

##### 使用：方法二 #####

IDEA 提供`Inspect Code`功能支持对整个项目/指定范围文件进行自定义规则的扫描。

![56bc76367509a9550aad4d665f24bc44.jpeg][]

#### 效果展示 ####

**演示一： XXE漏洞发现与一键修复**

![7993dd8c1058453fb00b4bcb880e114b.png][]

**演示二： Mybatis XML Mapper SQL注入漏洞发现与一键修复**

![d3472d55bef54b1791324287d667a5b7.png][]

#### 插件规则 ####

<table> 
 <thead> 
  <tr> 
   <th>编号</th> 
   <th>规则名称</th> 
   <th>修复建议</th> 
   <th>一键修复</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>1001</td> 
   <td>多项式拼接型SQL注入漏洞</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1002</td> 
   <td>占位符拼接型SQL注入漏洞</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1003</td> 
   <td>Mybatis注解SQL注入漏洞</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1004</td> 
   <td>Mybatis XML SQL注入漏洞</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1005</td> 
   <td>RegexDos风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1006</td> 
   <td>Jackson反序列化风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1007</td> 
   <td>Fastjson反序列化风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1008</td> 
   <td>Netty响应拆分攻击</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1009</td> 
   <td>固定的随机数种子风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1010</td> 
   <td>XXE漏洞</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1011</td> 
   <td>XStream反序列化风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1014</td> 
   <td>脆弱的消息摘要算法</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1015</td> 
   <td>过时的加密标准</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1016</td> 
   <td>XMLDecoder反序列化风险</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1017</td> 
   <td>LDAP反序列化风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1018</td> 
   <td>宽泛的CORS Allowed Origin设置</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1019</td> 
   <td>SpringSecurity关闭Debug模式</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1020</td> 
   <td>硬编码凭证风险</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>1021</td> 
   <td>"@RequestMapping" 方法应当为 "public"</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1022</td> 
   <td>Spring 会话固定攻击风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1023</td> 
   <td>不安全的伪随机数生成器</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1024</td> 
   <td>OpenSAML2 认证绕过风险</td> 
   <td>T</td> 
   <td>T</td> 
  </tr> 
  <tr> 
   <td>1025</td> 
   <td>IP地址硬编码</td> 
   <td>T</td> 
   <td></td> 
  </tr> 
 </tbody> 
</table>

#### 贡献代码 ####

##### 项目结构 #####

src
    ├── main
    │   ├── java
    │   │   └── com
    │   │       └── immomo
    │   │           └── momosec
    │   │               ├── aspect
    │   │               ├── entity
    │   │               ├── fix
    │   │               ├── lang
    │   │               │   ├── java
    │   │               │   │   ├── rule
    │   │               │   │   │   └── momosecurity
    │   │               │   │   │       └── {InspectionName}.java
    │   │               │   │   └── utils
    │   │               │   └── xml
    │   │               │       └── rule
    │   │               │           └── momosecurity
    │   │               │               └── {InspectionName}.java
    │   │               └── utils
    │   └── resources
    │       ├── META-INF
    │       │   ├── description.html
    │       │   ├── pluginIcon.svg
    │       │   └── plugin.xml
    │       └── inspectionDescriptions
    │           └── {InspectionName}.html
    └── test
        ├── java
        │   └── com
        │       └── immomo
        │           └── momosec
        │               └── lang
        │                   ├── java
        │                   │   ├── fix
        │                   │   └── rule
        │                   │       └── momosecurity
        │                   │           └── {InspectionName}Test.java
        │                   └── xml
        │                       └── rule
        │                           └── momosecurity
        │                               └── {InspectionName}Test.java
        ├── resources
        └── testData
            └── lang
                ├── java
                │   └── rule
                │       └── momosecurity
                │           └── {InspectionName}
                │               └──...
                └── xml
                    └── rule
                        └── momosecurity
                            └── {InspectionName}
                                └──...

##### 脚手架 #####

# 新增检查规则
    > python script/addInspection.py
    
    # 删除检查规则
    > python script/deleteInspection.py

##### 单元测试 #####

> ./gradlew :test

##### 预发布打包 #####

1.  ./gradlew --no-daemon clean build -PMOMO\_CODE\_SEC\_INSPECTOR\_ENV=pre
2.  build/distributions/\*.zip 为待发布插件

##### 发布打包 #####

1.  ./gradlew --no-daemon clean build -PMOMO\_CODE\_SEC\_INSPECTOR\_ENV=prod
2.  build/distributions/\*.zip 为待发布插件

#### 注意事项 ####

*  分支命名规则：

以版本号命名的分支，原则上代表支持的idea版本下限。

如branch为2018.3代表当前分支支持版本范围是>=2018.3 (或说from 183.\* to \*)。

插件具体支持idea版本范围见`gradle.properties`中`idea_since_build`与`idea_until_build`部分。

*  插件版本号命名规则：

原则上，插件版本号以支持的idea版本下限为大版本编号。

如插件当前版本为`x.1`，`x`为开发时所用IDEA版本编号，`.1`为插件发布版本。

需要注意的是，因IDEA更新机制问题，插件新版本号只能**向上增长**。

具体见`gradle.properties`的`plugin_version`字段。

*  版本号对应关系

<table> 
 <thead> 
  <tr> 
   <th>分支名</th> 
   <th>插件版本</th> 
   <th>IDEA版本</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>2018.3</td> 
   <td>193</td> 
   <td>2018.3.* &lt;= x</td> 
  </tr> 
  <tr> 
   <td>2017.3</td> 
   <td>173</td> 
   <td>2017.3.* &lt;= x &lt;= 2018.2.*</td> 
  </tr> 
 </tbody> 
</table>

#### 关于我们 ####

> 陌陌安全致力于以务实的工作保障陌陌旗下所有产品及亿万用户的信息安全，以开放的心态拥抱信息安全机构、团队与个人之间的共赢协作，以自由的氛围和丰富的资源支撑优秀同学的个人发展与职业成长。

来源：[momo-code-sec-inspector-java: MOMO CODE SEC INSPECTOR 本插件作为 Java 项目静态代码安全审计工具，侧重于在编码过程中发现项目潜在的安全风险，并提供一键修复能力][momo-code-sec-inspector-java_ MOMO CODE SEC INSPECTOR _ Java]

[Link 1]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E7%89%88%E6%9C%AC%E6%94%AF%E6%8C%81
[Link 2]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E5%AE%89%E8%A3%85%E4%BD%BF%E7%94%A8
[Link 3]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E6%95%88%E6%9E%9C%E5%B1%95%E7%A4%BA
[Link 4]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E6%8F%92%E4%BB%B6%E8%A7%84%E5%88%99
[Link 5]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E8%B4%A1%E7%8C%AE%E4%BB%A3%E7%A0%81
[Link 6]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A1%B9
[Link 7]: https://gitee.com/mirrors/momo-code-sec-inspector-java#%E5%85%B3%E4%BA%8E%E6%88%91%E4%BB%AC
[01965acd2758a756f0902bbce32f8e3b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/774f12a76b204349874140be4233941b.png
[56bc76367509a9550aad4d665f24bc44.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/40e86b1cd7244bb0b3ecab121945c443.png
[7993dd8c1058453fb00b4bcb880e114b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/cf66075427974a9886ff1d3b40f3ce58.png
[d3472d55bef54b1791324287d667a5b7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/14/380b1027e7ba40419f5458dd73563cd3.png
[momo-code-sec-inspector-java_ MOMO CODE SEC INSPECTOR _ Java]: https://gitee.com/mirrors/momo-code-sec-inspector-java