mcpField
C
code-audit

code-audit

github.com/zhaoxuya520安全43.7k1.2k 次安装5 周前更新
代码仓库

关于 code-audit

面向有源码或仓库访问权限的安全审计技能，适用于白盒审计和 PR 差异审查。流程结合威胁建模、SAST 扫描与人工验证，要求记录问题位置、数据流、概念验证和修复建议。

主要功能

  1. 01明确代码范围与威胁边界
  2. 02运行 Semgrep 等 SAST 扫描
  3. 03人工验证扫描结果的可达性与可利用性
  4. 04检查鉴权、注入与加密问题
  5. 05输出问题证据和修复建议

适用场景

  1. 01审查 PR 或代码差异
  2. 02审计自有服务的安全逻辑
  3. 03验证自动扫描发现的问题
  4. 04检查越权、注入或硬编码密钥

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill code-audit

安装后在 Claude Code 中输入/code-audit确认已加载。

附带文件references/sast-review-checklist.md

详细介绍

来自项目 README

Source Code Security Audit

ACTION REQUIRED（读完后立刻执行）

  1. NOW: 读取 ../field-journal/precedent-pentest.md 或代码审计授权
  2. NOW: 确认有源码/仓库访问（无源码二进制 → 转 RE skill）
  3. NOW: 明确语言栈与范围（目录/服务/PR diff）
  4. NEXT: tool-index；semgrep 等
  5. ACT: 威胁建模草图 → 自动扫描 → 人工验证

适用场景

  • 白盒审计、PR/差分安全审查
  • Semgrep / CodeQL / Bandit / gosec 等 SAST
  • 危险 API、注入点、鉴权缺失、加密误用
  • 与 supply-chain-security/ 分工：本 skill 偏自有代码逻辑，供应链偏依赖与管道

工作流

1. 范围与威胁模型
□ 信任边界：用户输入、文件、反序列化、SSRF、鉴权中间件
□ 高价值资产：鉴权、支付、管理端、密钥处理
2. 自动扫描
semgrep --config auto .
# 或项目规则包
semgrep --config p/owasp-top-ten .
3. 人工验证（MUST）
□ 每个 SAST 命中：可达性？可利用性？误报？
□ 鉴权：IDOR/越权、缺校验、错误的多租户隔离
□ 注入：SQL/命令/模板/LDAP
□ 加密：硬编码密钥、ECB、自定义 crypto
4. 产出
Finding：位置 + 数据流 + PoC + 修复建议
可选 ATT&CK / CWE 编号

工具链

工具语言/场景
Semgrep多语言快速规则
CodeQL深数据流（GitHub）
BanditPython
gosec / staticcheckGo
SpotBugs / FindSecBugsJava

参考

  • references/sast-review-checklist.md
  • ../supply-chain-security/ ../api-security/ ../llm-security/（Agent 代码）

路由上下文

上游: MASTER R26
角色: ops/role-map.md cae
下游: 依赖漏洞 → supply-chain；运行时验证 → pentest-tools

任务完成自检

  • 是否人工验证而非只贴扫描器输出？
  • 是否含修复建议？
  • 是否限定在授权仓库范围？
  • Checklist？

评论

支持 Markdown