Un outil complet d'audit de sécurité white-box pour identifier les vulnérabilités exploitables grâce à une analyse systématique du code source.
Installer & Télécharger
1. ClawHub CLI
Le moyen le plus rapide d'installer une compétence directement depuis le registre.
npx clawhub@latest install bookforge-source-code-security-review
2. Installation manuelle
Copiez le dossier de la compétence dans l'un de ces emplacements
~/.openclaw/skills/ <project>/skills/ Priorité : Espace de travail > Local > Intégré
3. Installation du prompt
Copiez ce prompt dans OpenClaw pour l'installer automatiquement.
Aide-moi à installer bookforge-source-code-security-review via Clawhub. Si Clawhub n'est pas installé, installe-le d'abord (npm i -g clawhub).
Vous préférez télécharger ?
Obtenez les fichiers bruts de la compétence dans une archive ZIP.
Qu'est-ce que Revue de Sécurité du Code Source ?
La compétence Revue de Sécurité du Code Source est une méthodologie spécialisée conçue pour les professionnels de la sécurité et les développeurs afin de réaliser des audits approfondis sur les bases de code des applications web. En utilisant Openclaw Skills pour l'analyse des sources, les utilisateurs peuvent identifier des vulnérabilités à haut risque que les scanners black-box automatisés ignorent souvent, telles que des identifiants codés en dur, des failles logiques complexes et des mots de passe de backdoor. Cette compétence comble le fossé entre les outils SAST automatisés et les tests d'intrusion manuels, en fournissant un cadre structuré pour tracer les entrées utilisateur corrompues sur diverses plateformes, notamment Java, ASP.NET, PHP et JavaScript.
Cas d'utilisation de Revue de Sécurité du Code Source
- Réalisation de tests d'intrusion autorisés où l'accès au code source est fourni pour augmenter les taux de découverte de vulnérabilités.
- Audit des applications web avant le lancement en production pour garantir le respect des normes de codage sécurisé.
- Examen des composants open-source ou tiers à la recherche de risques de sécurité intégrés ou de backdoors malveillantes.
- Réalisation d'analyses de cause racine après un incident de sécurité pour comprendre la défaillance exacte au niveau du code.
- Compléter les sorties des outils de sécurité automatisés par une vérification manuelle et un traçage du flux de données.
Comment fonctionne Revue de Sécurité du Code Source
- Cartographier les points d'entrée des entrées utilisateur : La compétence identifie toutes les API spécifiques à la plateforme où les données utilisateur entrent dans l'application, telles que HttpServletRequest en Java ou $_GET/$_POST en PHP.
- Tracer le flux de données vers les Sinks : Elle effectue un balayage de signatures pour trouver les API de sink dangereuses (ex. Runtime.exec, mysql_query, eval) et trace les données à rebours pour voir si elles restent non validées.
- Revue des composants ligne par ligne : Les zones à haut risque comme l'authentification, la gestion des sessions et le contrôle d'accès sont examinées séquentiellement pour trouver des défauts de conception.
- Audit de la configuration de l'environnement : La compétence examine les fichiers de configuration tels que web.xml, Web.config et php.ini pour détecter des paramètres de déploiement non sécurisés.
- Génération de rapports : Les constatations sont documentées avec des mappages CWE, des niveaux de gravité, des preuves de code et des étapes de remédiation spécifiques.
Configuration de Revue de Sécurité du Code Source
Pour commencer avec cette compétence au sein de l'écosystème Openclaw Skills, assurez-vous d'avoir un accès autorisé au code source de l'application. La compétence utilise principalement des outils en ligne de commande pour l'analyse.
# Naviguez vers la racine du dépôt du code source
cd /your/project/path
# Utilisez les modèles grep fournis par la compétence pour cartographier les points d'entrée
grep -rE "getParameter|getQueryString|getHeader" ./src
Schéma de données et taxonomie de Revue de Sécurité du Code Source
La compétence organise les constatations sur la base d'une taxonomie structurée des vulnérabilités. Elle nécessite l'accès à l'arborescence complète des sources pour construire une carte précise de l'architecture de l'application.
| Composant de données | Description |
|---|---|
| Source d'entrée | API spécifiques à la plateforme utilisées pour capturer les données contrôlées par l'utilisateur. |
| Sink dangereux | API effectuant des opérations sensibles (requêtes DB, commandes OS, I/O de fichiers). |
| Métadonnées des constatations | Inclut l'ID CWE, la gravité (Critique à Faible) et l'emplacement Fichier:Ligne. |
| Config d'environnement | Analyse des paramètres pertinents pour la sécurité dans les fichiers de configuration de la plateforme. |
Fonctionnalités avancées de Revue de Sécurité du Code Source
- Support multi-plateforme couvrant les écosystèmes Java, .NET, PHP, Perl et JavaScript.
- Analyse approfondie incluant les procédures stockées de base de données et les points d'intégration de bibliothèques natives C/C++.
- Traçage sensible au contexte tenant compte des wrappers de sécurité personnalisés et des abstractions spécifiques aux bibliothèques.
- Intégration de la revue de configuration pour identifier l'injection de variables non initialisées et les indicateurs de cookie non sécurisés.
- Structure de rapport standardisée compatible avec les flux de travail professionnels de l'ingénierie appsec utilisant Openclaw Skills.
SKILL.md
Chargement
Compétences Openclaw associées
Détection et Exploitation de SQL Injection
Une boîte à outils d'évaluation complète pour identifier, effectuer le fingerprinting et exploiter les vulnérabilités de SQL Injection dans les applications web.
Accessibility Tester
Une compétence d'agent IA expert dédiée à l'atteinte de la conformité WCAG grâce à une analyse automatisée rigoureuse, une vérification manuelle et une optimisation des technologies d'assistance.
Agent Organizer
Une compétence d'orchestration haute performance conçue pour assembler, coordonner et optimiser des équipes multi-agents grâce à une décomposition avancée des tâches et une cartographie des capacités.
Visualisation de Graphes AntV G6
Une compétence avancée de visualisation de graphes pour générer du code AntV G6 v5 haute performance prenant en charge des diagrammes de réseau complexes, des arbres et des flux de travail interactifs.
AgentOps
Une boîte à outils de gestion robuste pour surveiller, diagnostiquer et optimiser les agents IA OpenClaw via un flux de travail DevOps professionnel.
Verified Agent Identity
Une compétence de gestion d'identité décentralisée qui permet aux agents d'AI de créer des DIDs et de les lier à des propriétaires humains via le Billions Network.
METADATA
En vedette*
