mcpField
C
code-audit

code-audit

github.com/zhaoxuya520セキュリティ43.7k1.2k 回インストール5 週間前に更新
リポジトリ

code-audit について

ソースコードやリポジトリにアクセスできる場合に使う、ホワイトボックス監査とPR差分レビュー向けのセキュリティ監査スキルです。脅威モデリング、SAST、手動検証を組み合わせ、根拠と修正案を添えて指摘事項をまとめます。

主な機能

  1. 01コード範囲と信頼境界の定義
  2. 02SemgrepなどによるSASTスキャン
  3. 03到達可能性と悪用可能性の手動検証
  4. 04認可、インジェクション、暗号処理の確認
  5. 05根拠と修正案を含む指摘の記録

活用シーン

  1. 01PRやコード差分のレビュー
  2. 02自社サービスのセキュリティロジック監査
  3. 03自動スキャン結果の検証
  4. 04認可不備、インジェクション、ハードコード鍵の確認

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill code-audit

インストール後、Claude Code で/code-auditを入力して読み込まれたか確認します。

同梱ファイルreferences/sast-review-checklist.md

詳細

ソースコードセキュリティ監査

ACTION REQUIRED（読了後すぐに実行）

  1. NOW: ../field-journal/precedent-pentest.md を読む、またはコード監査の授权を取得する
  2. NOW: ソースコード/リポジトリへのアクセスがあることを確認する（ソースコードなしのバイナリ → RE skill に切り替え）
  3. NOW: 言語スタックと範囲（ディレクトリ/サービス/PR diff）を明確にする
  4. NEXT: tool-index；semgrep など
  5. ACT: 脅威モデリングのスケッチ → 自動スキャン → 手動検証

適用シナリオ

  • ホワイトボックス監査、PR/差分のセキュリティレビュー
  • Semgrep / CodeQL / Bandit / gosec などの SAST
  • 危険な API、インジェクションポイント、認証・認可の欠如、暗号の誤用
  • supply-chain-security/ との役割分担：本 skill は自社コードのロジック寄り、サプライチェーンは依存関係とパイプライン寄り

ワークフロー

1. 範囲と脅威モデル
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
2. 自動スキャン
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
3. 手動検証（MUST）
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
4. 成果物
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号

ツールチェーン

ツール言語/シナリオ
Semgrep多言語の高速ルール
CodeQL深いデータフロー（GitHub）
BanditPython
gosec / staticcheckGo
SpotBugs / FindSecBugsJava

参考

  • references/sast-review-checklist.md
  • ../supply-chain-security/ ../api-security/ ../llm-security/（Agent コード）

ルーティングコンテキスト

上流: MASTER R26
役割: ops/role-map.md cae
下流: 依存関係の脆弱性 → supply-chain；実行時検証 → pentest-tools

タスク完了セルフチェック

  • スキャナーの出力を貼るだけでなく、手動検証を行いましたか？
  • 修正提案を含んでいますか？
  • 認可されたリポジトリの範囲に限定していますか？
  • Checklist？

コメント

Markdown 対応