secure-code-review

Files (1)

• SKILL.md

SKILL.md (first lines)

# 安全代码审计深度技能 v3.0

> **AI LOAD INSTRUCTION**: 攻击面驱动的安全代码审计专家方法论。聚焦攻击面建模→多语言漏洞模式→source-sink 数据流追踪→认证/业务逻辑专项→供应链与 AI 代码幻觉失效模式。产出必须附 source→sink→PoC 证据链。

## 概述

代码审计是发现漏洞根源的核心能力。v3.0 站在资深攻防专家视角，将审计方法论从"全量扫一遍"升级为**攻击面驱动的优先级审计**，系统化覆盖**攻击面映射 → 多语言漏洞模式 → 数据流/污点追踪 → 认证授权 → 业务逻辑 → 供应链 → 反混淆对抗 → AI 辅助 → DevSecOps 集成 → 证据链闭环**完整链路，聚焦于从代码中识别**可被真实利用**的安全缺陷，而非制造误报噪音。

### 核心概念
- **攻击面（Attack Surface）**：所有攻击者可触及的代码路径集合（HTTP 入口、消息队列、文件、定时任务、CLI），审计必须从入口点出发而非从文件出发
- **Source / Sink**：外部输入来源（Source）与危险操作调用点（Sink），二者之间的可达路径即漏洞本体
- **污点（Taint）**：标记为"不可信"的数据，经传播仍带污点，到达 Sink 即触发告警
- **可达性（Reachability）**：判定"这个危险函数是否真的能被外部输入触达"，是区分真漏洞与理论缺陷的关键
- **误报 / 漏报**：SAST 误报率普遍高达 60-90%（未调优可达 91%），漏报率（False Negative）是比误报更危险的"无声杀手"——干净扫描 ≠ 安全
- **CVSS / 证据链（Evidence Chain）**：漏洞分级标准与可复现证据（PoC、请求包、代码定位、时间线），决定报告能否被开发团队采信
- **二次注入 / 存储型污染**：数据先入库，后在其他查询/渲染上下文被拼接利用，静态工具最易漏检的链路
- **AI 辅助审计**：LLM 负责语义推理与误报过滤，确定性引擎（Semgrep/CodeQL）负责枚举与数据流，人工负责最终裁决——三者缺一不可

## 一、攻击面驱动的审计方法论

### 1.1 为什么必须从攻击面出发

传统 SAST 是 **sink-first**（从危险函数反推路径），能发现"可能危险"但无法回答"攻击者能否真的触达"。2026 年主流 AI 审计框架（如 Capital One VulnHunter）已反转思路：**从真实攻击入口点正向追踪**，沿攻击者实际路径经过认证、授权、校验等安全关卡，只有整条路径可行才上报。审计者必须以"攻击者视角"绘制入口点到敏感操作的地图。

### 1.2 入口点枚举（Entry Point 清单）

```
# HTTP 类
- 路由注册表（Spring @RequestMapping / Flask @app.route / Express app.get / Gin 路由组）
- 中间件/过滤器/拦截器（全局鉴权是否被跳过）
- 文件上传、下载接口
- 回调接口（Webhook、OAuth redirect_uri、支付回调——最容易绕过鉴权）
- GraphQL / gRPC / WebSocket 端点

# 非 HTTP 类
- 消息队列消费者（Kafka/RabbitMQ/SQS 监听器）
- 定时任务/批处理入口
- 反序列化入口（RMI/AMF/XML/JSON/YAML）
- 外部 API 集成点（第三方 SDK 回调）
- CLI / 运维命令入口

# 隐藏入口
- 未版本控制的接口（/admin、/debug、/actuator）
- 测试接口（测试代码误上生产）
- 调试开关（--debug、Env 变量切换的隐藏路由）
```

### 1.3 三步法：入口点 → 数据流 → 敏感操作

```
第一步 枚举入口点：全局搜索路由注册、消息监听、回调注册
第二步 追踪数据流：从入口参数出发，追踪其流向（请求体→DTO→Service→DAO）
第三步 定位敏感操作：标记沿路径上的危险 Sink（SQL/命令/文件/反序列化/SSRF/越权点）
产出物：入口点×Sink 的可达矩阵，作为审计优先级依据
```

**实战命令（快速定位入口点）：**
```bash
# Java Spring：路由注解
grep -rn "RequestMapping\|GetMapping\|PostMapping\|RestController" --include="*.java" src/ | head -50

# Python Flask/Django
grep -rn "@app.route\|urlpatterns\|path(" --include="*.py" . | head -50

# Node.js Express
grep -rn "app\.\(get\|post\|put\|delete\|use\)\|router\.\(get\|post\)" --include="*.js" . | head -50

# Go
grep -rn "r\.Handle\|mux\.Handle\|gin\.Default" --include="*.go" . | head -50

# PHP
grep -rn "route\|match\|dispatch" --include="*.php" app/ public/ | head -50
```

### 1.4 审计优先级矩阵

| 优先级 | 条件 | 动作 |
|-------|------|------|
| P0 | 未鉴权入口 + 直接到达命令/SQL/反序列化 Sink | 立即深挖，构造 PoC |
| P1 | 鉴权后入口 + 敏感操作 + 用户可控数据 | 深度数据流追踪 |
| P2 | 鉴权后入口 + 敏感操作 + 数据受限 | 抽查 + 逻辑审计 |
| P3 | 内部工具代码、无外部输入 | 依赖与配置审计为主 |

**排序因子：** 资产价值（数据敏感度）× 暴露程度（是否公网可达）× 可利用性（前置条件数量）× 影响（RCE>文件读写>信息泄露）。

### 1.5 五阶段标准流程

```
阶段1 侦察（Recon）：摸清技术栈、框架版本、依赖清单、认证模型
阶段2 映射（Map）：绘制攻击面与入口点清单
阶段3 深挖（Deep Dive）：对 P0/P1 目标做数据流追踪与模式匹配
阶段4 验证（Verify）：构造 PoC 验证可利用性（仅限授权环境）
阶段5 报告（Report）：证据链闭环（见第十三章）
```

## 二、多语言漏洞模式

### 2.1 Java 安全审计

**反序列化漏洞：**
```java
// 危险：未过滤的反序列化
ObjectInputStream ois = new ObjectInputStream(input);
Object obj = ois.readObject();  // 任意类反序列化 RCE

// 危险：Fastjson 解析
JSON.parseObject(userInput);  // @type 字段控制类加载，详见 fastjson-exploitation 技能

// 危险：YAML 反序列化（Spring Boot 内置 SnakeYAML）
Yaml yaml = new Yaml();
Object obj = yaml.load(userInput);  // !!class 标签 RCE

// 修复：白名单过滤
ObjectInputFilter filter = ObjectInputFilter.Config.createFilter("com.myapp.*;!*");
ois.setObjectInputFilter(filter);
// SnakeYAML 修复：yaml.loadAs(userInput, MyClass.class) 或自定义 Constructor 白名单
```

**JNDI 注入：**

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC