정보보안 SUA - [오픈소스 보안] 9주차

1. 과제

<[Juice-Shop] 취약점 2개 찾기>

<CodeQL 관련 작업 파일을 GitHub 저장소(opensource-security-sua)에

모두 workspace 디렉터리 내로 올리기([사용자명]/workspace/CodeQL/작업 파일들)>

<Sken.ai는 설정 마저하고 다시 진단하기(확인 필요)>

<Go-SCP 코드 작성하고 취약한 코드, 안전한 코드 비교하여 주석, 설명 추가 후 README 업데이트>

<CodeQL 실습>

 

2. 내용

<[LGTM]에서 codeQL 쿼리 실행>

SQL로 프로그래밍하는 느낌이 들었다

여기서 codeQL을 실행할 수 있다.

언어를 고르고 실행한다.

쿼리 실행 및 결과들

3. 후기

C, Java 같은 프로그래밍 언어로 구현하면 매우 쉬워질 코드를 codeQL로 구현하려니 더 어렵게 느껴진다.

아직 codeQL이 익숙하지 않은 탓인걸까. 익숙해져야겠다.

 

4. 결론

codeQL 기본 쿼리를 익히고, 취약점을 발견할 때는 어떻게 쓰일 것인가 생각해보기

 

5. 참고

codeQL 문법 문서

https://codeql.github.com/docs/writing-codeql-queries/ql-tutorials/

QL tutorials — CodeQL