一款针对Java语言的静态代码分析工具

admin 2023年1月10日03:00:37安全工具评论15 views1288字阅读4分17秒阅读模式

TABBY是一款针对Java语言的静态代码分析工具。

它使用静态分析框架 Soot 作为语义提取工具,将JAR/WAR/CLASS文件转化为代码属性图。并使用 Neo4j 图数据库来存储生成的代码属性图CPG。

它不单单可以利用链挖掘的应用,也能够后续能从漏洞分析的角度利用tabby的代码属性图进行分析

下载链接见文末

1 使用方法

使用Tabby需要有以下环境:

  • JDK8的环境
  • 可用的Neo4j图数据库 Neo4j环境配置
  • Neo4j Browser 或者其他可以进行Neo4j可视化的工具

具体的使用方法参见:Tabby食用指北

2 Tabby的适用人群

开发Tabby的初衷是想要提高代码审计的效率,尽可能的减少人工检索的工作量

使用tabby生成的代码属性图(当前版本1.1.0)可以完成以下的工作场景:

  • 挖掘目标代码文件中潜藏的Java反序列化利用链
  • 搜索符合特定条件的函数、类,譬如检索调用了危险函数的静态函数
  • 从某个端点到sink点的调用路径,用于检索可能的漏洞触发路径(如weblogic xmldecoder相关从processRequest到XMLDecoder.readObject的路径)

以前对Jar/War/Class的分析方法,往往为先反编译成java文件,然后再通过人工搜索特定函数来进行分析。

而有了Tabby之后,我们可以先生成相应的代码属性图,然后使用Neo4j的查询语法来进行特定函数的搜索,特定条件的利用路径检索等

3 成果

  • 现有利用链覆盖
  • CVE-2021-21346 如何高效的挖掘Java反序列化利用链?
  • CVE-2021-21351
  • CVE-2021-39147 如何高效地捡漏反序列化利用链?
  • CVE-2021-39148
  • CVE-2021-39152 m0d9
  • 子项目:Java反序列化利用框架 ysomap

4 免责申明

未经授权许可攻击目标是非法的。本程序应仅用于授权的安全测试与研究目的。

软件来源互联网,版权归原作者所有,侵删本资源仅供个人学习交流、测试使用。
所有内容请在下载后24小时内删除,禁止非法恶意传播,不对任何下载或转载者造成的危害负任何法律责任

下载地址

java静态代码分析工具tabby
2023/1/8备份下载链接:

https://www.123pan.com/s/cPMuVv-zirgv
该项目地址: https://github.com/wh1t3p1g/tabby

一款针对Java语言的静态代码分析工具

一款针对Java语言的静态代码分析工具

关注获取更多

往期推荐

一款功能强大的全自动白帽漏洞扫描器

 

听声识键!只需要通过键盘敲击声就可以获取你的按键输入

 

ONE-FOX单兵武器库贺岁版3.0今天他来啦~

 

2022年Top20黑客工具

 

元旦快乐! 安全X档案 2022年末文章汇总~ 团队召集成员

 

漏扫工具Invicti-Professional(原Netsparker)最新破解版

 

CS4.5二开及CS4.7源码

 

两分钟教你用ChatGPT+微信打造微信AI机器人

同时欢迎各位加入交流群进行交流,群里会不定期的分享一些工具和教程,添加时请根据您的来意备注安全交流或软件资源交流

一款针对Java语言的静态代码分析工具

一款针对Java语言的静态代码分析工具

原文始发于微信公众号(安全X档案):一款针对Java语言的静态代码分析工具

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月10日03:00:37
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  一款针对Java语言的静态代码分析工具 http://cn-sec.com/archives/1506110.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: