从踩坑到一键揪出C/C漏洞semgrep-rules漏洞研究实战指南【免费下载链接】semgrep-rulesA collection of my Semgrep rules to facilitate vulnerability research.项目地址: https://gitcode.com/gh_mirrors/semgr/semgrep-rules凌晨两点你盯着屏幕上那段只比预期多了三行代码的C程序却怎么也找不到崩溃的根源。strcpy拷进来的字符串没检查长度malloc的返回值没判断system()直接拼了用户输入——这些在教科书里被反复警告的坑藏在几千行真实代码里时光靠肉眼几乎不可能全部揪出来。你试过翻编译警告、试过静态分析工具要么误报多到没法看要么配置复杂到还没跑起来就已经放弃。如果你也经历过类似的深夜那么这篇关于semgrep-rules一个专为漏洞研究打造的C/C Semgrep规则集合的实战指南就是为你准备的。它不承诺银弹但能让你用几行命令在几分钟内把最常见的内存破坏、命令注入、整数溢出问题从代码海里捞出来。先别急着装工具先看它到底能替你盯住什么semgrep-rules 是安全研究员 Marco Ivaldi 维护的一套 Semgrep 规则本质上是一套写好的猎犬你把代码交给它它按照预置的几百个模式帮你嗅出高危点。它解决的核心痛点是——漏洞研究的头一小时不该浪费在人工翻找众所周知的坑上。它覆盖的规则按攻击面分门别类下面这张表只挑最疼的几个说攻击面代表规则典型命中场景对应CWE缓冲区溢出insecure-api-gets、insecure-api-strcpy-strcat、use-of-source-size-in-copygets(buf)、复制时把源大小当目标大小传CWE-121内存管理use-after-free、double-free、unchecked-ret-mallocfree 之后再解引用、malloc 返回值不判空CWE-416、CWE-252命令注入command-injectionsystem(用户输入)、popen(拼接字符串)CWE-78、CWE-88整数问题integer-wraparound、integer-truncation、incorrect-unsigned-comparison无符号数判断是否小于0、窄化转换CWE-190格式化字符串format-string-bugs把用户输入直接当printf的格式串CWE-134权限管理incorrect-order-setuid-setgid、unchecked-ret-setuid-seteuidsetuid 先于 setgid 调用、setuid 返回值不检查—光看列表可能没感觉关键是这些规则怎么写的。每个规则文件都是一份可读的 YAML例如command-injection的核心逻辑只有几行匹配system、popen、p2open、wordexp的调用再排除掉参数是字符串字面量的安全用法。这意味着什么意味着它的误报是刻意压制过的——字面量system(whoami)不会被报只有传入变量的调用才会被标记。三分钟跑通第一次扫描假设你已经装了 Python 环境从零到看到第一条命中结果只需要三步。第一步安装 Semgrep 本体pip install semgrep第二步获取规则。两条路任选用官方注册表推荐自动更新semgrep --severity ERROR --config p/0xdea /path/to/source克隆到本地方便查看规则源码、学习写法git clone https://gitcode.com/gh_mirrors/semgr/semgrep-rules第三步只扫某一个规则验证工具链是否打通semgrep --config semgrep-rules/rules/c/command-injection.yaml /path/to/source如果你手头没有目标代码可以直接用仓库自带的测试用例当靶子rules/c/command-injection.c里预先埋好了ok:和ruleid:注释跑一遍就能同时验证该报的报了、不该报的没报。几个立刻能用的实用变体# 高优先级快速扫描适合先捞关键问题 semgrep --severity ERROR --config p/0xdea /path/to/source # 高中优先级推荐日常使用 semgrep --severity ERROR --severity WARNING --config p/0xdea /path/to/source # 连 .gitignore 忽略的文件也扫审计别人代码时很有用 semgrep --config semgrep-rules/rules /path/to/source --no-git-ignore一个值得深挖的技巧把扫描结果变成可导航的 SARIF 报告这是整套规则最容易被忽略、却最能提升效率的用法。默认终端输出适合快速浏览但当你面对的是几万行的代码库时逐条看终端输出会疯掉。这时候用 SARIF 格式输出把结果交给 VS Code 的 SARIF Explorer 插件semgrep --sarif --sarif-output/path/to/source/SEMGREP.sarif --config semgrep-rules/rules /path/to/source code /path/to/source # 然后在 VS Code 里打开 SEMGREP.sarif效果是每个命中点都变成 IDE 里的可点击定位点一下直接跳到出问题的代码行旁边就是规则给出的修复建议message 字段。仓库的sarif-example/目录下自带一份真实输出样本你可以先打开它感受一下报告长什么样再决定要不要在自己的项目里跑。这套组合拳对漏洞研究特别值从知道哪里有问题到站在问题代码前只需要一次点击省下的时间可以用来思考更复杂的逻辑漏洞。新手最容易踩的四个坑坑一把规则集当万能扫描器什么语言都往上套。这套规则面向 C/C少量规则如bad-words用正则实现拿去扫 Java 项目只会得到一堆噪音。坑二不看 severity 分级直接全量跑。全量扫描会包含 INFO 级和noisy类规则比如rules/noisy/下的bad-words连注释里的 TODO、FIXME 都会报。新手建议从--severity ERROR起步再逐步放宽。坑三命中漏洞直接下结论。规则是静态匹配use-after-free这类规则在复杂控制流下可能漏报或误报。命中点只是值得人工确认的热点不是定罪书。这一点 README 里也坦承部分规则如write-into-stack-buffer被标注为处理慢、可能误报多。坑四版本不对导致规则解析失败。项目当前在 Semgrep CLI 1.169.0 下测试部分规则用到了较新的metavariable-analysis熵分析等特性建议使用 1.169.0 或更高版本。哪些人、哪些场景用这套规则最划算漏洞研究人员逆向分析前先用它扫一遍源码/伪代码把教科书级漏洞快速排除把时间留给真正的 0day 逻辑。代码审计工程师接手陌生 C/C 项目时第一轮机械性排查交给规则集人工专注在业务逻辑上。C/C 开发者提交前跑一遍--severity ERROR把gets、未判空的malloc这类低级失误挡在 CI 之前。安全教学/CTF 出题每个规则都自带正反例测试文件本身就是绝佳的教学素材。顺带一提作者在 CHANGELOG 里透露了路线图未来会支持 Semgrep Pro 引擎的跨函数分析、引入 taint 模式做数据流追踪甚至规划了专门的 Rust 规则集。如果你正打算学习 Semgrep 规则编写这个仓库的 YAML 就是现成的范本——它注释里甚至写明了每个pattern-not为什么存在。一句话收尾静态分析不会替你思考但 semgrep-rules 能替你把明显该挨打的代码先打一遍——剩下的才是你真正需要动脑的地方。现在就跑一次你的项目看看第一份报告里藏着多少惊喜吧。【免费下载链接】semgrep-rulesA collection of my Semgrep rules to facilitate vulnerability research.项目地址: https://gitcode.com/gh_mirrors/semgr/semgrep-rules创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
从踩坑到一键揪出C/C漏洞semgrep-rules漏洞研究实战指南【免费下载链接】semgrep-rulesA collection of my Semgrep rules to facilitate vulnerability research.项目地址: https://gitcode.com/gh_mirrors/semgr/semgrep-rules凌晨两点你盯着屏幕上那段只比预期多了三行代码的C程序却怎么也找不到崩溃的根源。strcpy拷进来的字符串没检查长度malloc的返回值没判断system()直接拼了用户输入——这些在教科书里被反复警告的坑藏在几千行真实代码里时光靠肉眼几乎不可能全部揪出来。你试过翻编译警告、试过静态分析工具要么误报多到没法看要么配置复杂到还没跑起来就已经放弃。如果你也经历过类似的深夜那么这篇关于semgrep-rules一个专为漏洞研究打造的C/C Semgrep规则集合的实战指南就是为你准备的。它不承诺银弹但能让你用几行命令在几分钟内把最常见的内存破坏、命令注入、整数溢出问题从代码海里捞出来。先别急着装工具先看它到底能替你盯住什么semgrep-rules 是安全研究员 Marco Ivaldi 维护的一套 Semgrep 规则本质上是一套写好的猎犬你把代码交给它它按照预置的几百个模式帮你嗅出高危点。它解决的核心痛点是——漏洞研究的头一小时不该浪费在人工翻找众所周知的坑上。它覆盖的规则按攻击面分门别类下面这张表只挑最疼的几个说攻击面代表规则典型命中场景对应CWE缓冲区溢出insecure-api-gets、insecure-api-strcpy-strcat、use-of-source-size-in-copygets(buf)、复制时把源大小当目标大小传CWE-121内存管理use-after-free、double-free、unchecked-ret-mallocfree 之后再解引用、malloc 返回值不判空CWE-416、CWE-252命令注入command-injectionsystem(用户输入)、popen(拼接字符串)CWE-78、CWE-88整数问题integer-wraparound、integer-truncation、incorrect-unsigned-comparison无符号数判断是否小于0、窄化转换CWE-190格式化字符串format-string-bugs把用户输入直接当printf的格式串CWE-134权限管理incorrect-order-setuid-setgid、unchecked-ret-setuid-seteuidsetuid 先于 setgid 调用、setuid 返回值不检查—光看列表可能没感觉关键是这些规则怎么写的。每个规则文件都是一份可读的 YAML例如command-injection的核心逻辑只有几行匹配system、popen、p2open、wordexp的调用再排除掉参数是字符串字面量的安全用法。这意味着什么意味着它的误报是刻意压制过的——字面量system(whoami)不会被报只有传入变量的调用才会被标记。三分钟跑通第一次扫描假设你已经装了 Python 环境从零到看到第一条命中结果只需要三步。第一步安装 Semgrep 本体pip install semgrep第二步获取规则。两条路任选用官方注册表推荐自动更新semgrep --severity ERROR --config p/0xdea /path/to/source克隆到本地方便查看规则源码、学习写法git clone https://gitcode.com/gh_mirrors/semgr/semgrep-rules第三步只扫某一个规则验证工具链是否打通semgrep --config semgrep-rules/rules/c/command-injection.yaml /path/to/source如果你手头没有目标代码可以直接用仓库自带的测试用例当靶子rules/c/command-injection.c里预先埋好了ok:和ruleid:注释跑一遍就能同时验证该报的报了、不该报的没报。几个立刻能用的实用变体# 高优先级快速扫描适合先捞关键问题 semgrep --severity ERROR --config p/0xdea /path/to/source # 高中优先级推荐日常使用 semgrep --severity ERROR --severity WARNING --config p/0xdea /path/to/source # 连 .gitignore 忽略的文件也扫审计别人代码时很有用 semgrep --config semgrep-rules/rules /path/to/source --no-git-ignore一个值得深挖的技巧把扫描结果变成可导航的 SARIF 报告这是整套规则最容易被忽略、却最能提升效率的用法。默认终端输出适合快速浏览但当你面对的是几万行的代码库时逐条看终端输出会疯掉。这时候用 SARIF 格式输出把结果交给 VS Code 的 SARIF Explorer 插件semgrep --sarif --sarif-output/path/to/source/SEMGREP.sarif --config semgrep-rules/rules /path/to/source code /path/to/source # 然后在 VS Code 里打开 SEMGREP.sarif效果是每个命中点都变成 IDE 里的可点击定位点一下直接跳到出问题的代码行旁边就是规则给出的修复建议message 字段。仓库的sarif-example/目录下自带一份真实输出样本你可以先打开它感受一下报告长什么样再决定要不要在自己的项目里跑。这套组合拳对漏洞研究特别值从知道哪里有问题到站在问题代码前只需要一次点击省下的时间可以用来思考更复杂的逻辑漏洞。新手最容易踩的四个坑坑一把规则集当万能扫描器什么语言都往上套。这套规则面向 C/C少量规则如bad-words用正则实现拿去扫 Java 项目只会得到一堆噪音。坑二不看 severity 分级直接全量跑。全量扫描会包含 INFO 级和noisy类规则比如rules/noisy/下的bad-words连注释里的 TODO、FIXME 都会报。新手建议从--severity ERROR起步再逐步放宽。坑三命中漏洞直接下结论。规则是静态匹配use-after-free这类规则在复杂控制流下可能漏报或误报。命中点只是值得人工确认的热点不是定罪书。这一点 README 里也坦承部分规则如write-into-stack-buffer被标注为处理慢、可能误报多。坑四版本不对导致规则解析失败。项目当前在 Semgrep CLI 1.169.0 下测试部分规则用到了较新的metavariable-analysis熵分析等特性建议使用 1.169.0 或更高版本。哪些人、哪些场景用这套规则最划算漏洞研究人员逆向分析前先用它扫一遍源码/伪代码把教科书级漏洞快速排除把时间留给真正的 0day 逻辑。代码审计工程师接手陌生 C/C 项目时第一轮机械性排查交给规则集人工专注在业务逻辑上。C/C 开发者提交前跑一遍--severity ERROR把gets、未判空的malloc这类低级失误挡在 CI 之前。安全教学/CTF 出题每个规则都自带正反例测试文件本身就是绝佳的教学素材。顺带一提作者在 CHANGELOG 里透露了路线图未来会支持 Semgrep Pro 引擎的跨函数分析、引入 taint 模式做数据流追踪甚至规划了专门的 Rust 规则集。如果你正打算学习 Semgrep 规则编写这个仓库的 YAML 就是现成的范本——它注释里甚至写明了每个pattern-not为什么存在。一句话收尾静态分析不会替你思考但 semgrep-rules 能替你把明显该挨打的代码先打一遍——剩下的才是你真正需要动脑的地方。现在就跑一次你的项目看看第一份报告里藏着多少惊喜吧。【免费下载链接】semgrep-rulesA collection of my Semgrep rules to facilitate vulnerability research.项目地址: https://gitcode.com/gh_mirrors/semgr/semgrep-rules创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
)
