动静态代码审计工具

最近挖了一段CVE,一直用的seay的审计工具,然后加xdebug动态调试,但是我觉得如果有个工具可以实现罗列出全站的请求调用链,并可以随时修改请求重复,然后查看调用链会省很多的时候,但是在网上并没有找到十分合适的,然后就打算自己写一个白盒审计的辅助工具。

最近我看到一个师傅的项目http://blog.fatezero.org/2018/11/11/prvd/,与我想要写的东西有类似的地方,但是我并不想去实现漏洞检测的部分,只是想写个辅助工具,当然,如果哪个调用链进入了危险函数,会标红提醒。

爬取所有请求 (目前完成)

这个地方我的思路是先给admin权限,让爬虫去获取所有的请求,然后对请求进行清洗,对于相似的请求去重处理,我使用的泛化的方式来处理。

调用链的追踪 (正在进行)

这个打算基于插件二次开发。

web端的实现

具体用什么语言编写还没有想好,实现的功能大体如下:

  • 展示所有请求的调用链,并对含有危险函数的调用链进行标红,危险函数打算使用seay工具的匹配规则
  • 可在web端修改请求,实时关注调用链的变化
ps:在项目写完之后会进行开源的,如果有小伙伴感兴趣的话可以联系我一起去做。