Semgrep – 소스코드 보안 취약점 진단도구

소스코드의 보안 취약점을 진단해 주는 도구입니다.

설치법

VSCode 확장을 설치합니다.

Semgrep 확장을 검색해서 설치합니다.

# macOS
brew install semgrep

# Ubuntu/WSL
python3 -m pip install semgrep

사용법

# WSL
# cd /mnt/c/프로젝트경로/

semgrep scan --config auto

# 특정 파일 제외하고 C# 만 검사 후 파일로 저장
# semgrep scan --lang csharp --exclude=".vs" -o semgrep_result.txt
semgrep scan --config auto --include="*.cs" --exclude=".vs" -o semgrep_result.txt

# 특정 파일 제외하고 C# 만 검사 후 json 파일로 저장
semgrep scan --lang csharp --exclude=".vs" --json -o semgrep_result.json

오류 대응

권한오류

...
PermissionError: [Errno 13] Permission denied: '프로젝트경로/FileContentIndex/e58d50be-XXXXXX.vsidx'
...

위와 같이 권한 오류가 발생할 수 있습니다.
Visual Studio 등에서 파일을 읽고 있는 상태라 발생하는 오류로 해당 파일을 스캔에서 제외하면 됩니다.

vi .semgrepignore
------
# .semgrepignore
.vs/
**.vsidx
------