什么是CodeQL？CodeQL从入门到入土

codeql database create java-database --language=java --command="mvn clean install -Dmaven.test.skip=true --settings 路径/setting.xml"

import <language> /*导入对应的语言包*/from [datatype] vat /*构建数据类型表，便于理解可以认为是声明变量*/where condition[var = something] /*设置逻辑表达式*/select var /*打印结果*/

predicate isList(Parameter p){                      //声明谓词，入参为参数类型    p.getType().toString().indexOf("List<") != -1   //要求参数的类型有List字样}//所以这个谓词的作用是，限制入参是List类型class Vul extends TaintTracking::Configuration{    override predicate isSource(DataFlow::Node source){  exists(            Parameter p | isList(p)     //无返回值谓词，通常用于限制，常配合exists使用            and p = source.asParameter()//存在参数p，满足谓词isList的限制        )    }}

int test(int i){    result = i + 1    and i in [1..19]}select test(3)  //输出4

import javaclass Mynum extends int{    Mynum(){        this in [1..10]    }}from int iwhere i instanceof Mynumselect i

import javapredicate myNum(int i){    i in [1..10]}from int iwhere myNum(i)select i

import javaint myNum(int i){    result = i    and i in [1..10]}from int iselect myNum(i)

class MyBatisMapperXmlFile extends XmlFile{     //继承XmlFile，定义为一个xml文件    MyBatisMapperXmlFile(){                     //定义是一个怎么样的xml文件        count(XmlElement e|e=this.getAChild())=1 and  //要求xml文件有<mappeer>节点      this.getAChild().getName()="mapper"    }}class MyBatisMapperXmlElement extends XmlElement{          //定义为一个xml元素    MyBatisMapperXmlElement(){           //定义是怎么样的xml元素        this.getFile() instanceof MyBatisMapperXmlFile//定义xml元素属于MyBatisMapperXmlFile    }}

Person childOf(Person p){    P = parentOf(result)}// 在此基本上可以定义祖先Person ancestorOf(Person p){    result = parentOf(p) or    result = parentOf(ancestorOf(P))}//  再定义亲属Person relativeOf(Person p){    parentOf*(result) = parentOf*(p)}

// 定义抽象类原创输入流abstract class RemoteFlowSource extends DataFlow::Node {  abstract string getSourceType();}// 继承抽象类，限制为外部输入流private class ExternalRemoteFlowSource extends RemoteFlowSource {  ExternalRemoteFlowSource() { sourceNode(this, "remote") }  override string getSourceType() { result = "external" }}// 继承抽象类，限制为RMI类型的输入private class RmiMethodParameterSource extends RemoteFlowSource {  RmiMethodParameterSource() {    exists(RemoteCallableMethod method |      method.getAParameter() = this.asParameter() and      (        this.getType() instanceof PrimitiveType or        this.getType() instanceof TypeString      )    )  }  override string getSourceType() { result = "RMI method parameter" }}

override predite isSource(DataFlow::Node source){ source instanceof RemoteFlowSource}

class TestVul extends TaintTracking::Configuration{    TestVul(){        this = "Test"    }    predicae isTaintedString(Expr expSrc, Expr expDest){        // 想要强制关联的两个表达式的关系    }    override predicate isAdditionalTaintStep(DataFlow::Node node1, DataFlow::Node node2){        isTaintedString(node1.asExpr(), node2.asExpr())    }    override predicate isSource(DataFlow::Node Source){        // source.asParameter        // source.asExpr    }    override predicate isSink(DataFlow::Node sink){        // sink.asParameter        // sink.asExpr    }}

// java代码和xml文件关联// codeql-mainjavaqlsrcsemmlecodexmlMyBatisMapperXML.qllclass MyBatisMapperSqlOperationWithProgram extends MyBatisMapperXmlElement{    MyBatisMapperSqlOperationWithProgram(){        this instanceof MybatisMapperSqlOperation // xml 文件是数据库相关的    }    // 根据xml文件中的update、detele、select、insert元素找到对应的java方法    // <select id="findStuCount" resultType="java.lang.Integer">    Method getMethod(){        result.getName() = this.getAttribute("id").getValue() and // 获取id指定的方法        result.getDeclaringType() = this.getParent().(MyBatisMapperXmlElement).getNamespaceRefType()  // getDeclaringType 获取抽象类的接口声明  // getNamespaceRefType 获取mapper文件中对应的方法  // <mapper namespace="com.ttice.icewkment.mapper.ArticleClassMapper">    }}

import javaclass PostAnn extends Annotation{    PostAnn(){this.getType().hasQualifiedName("org.springbootframework.web.bind.annotation","PostMapping")    // 指定注解类包名，注解类名    }}

import javaclass JalorProgramCheckMethod extends Method{    JalorProgramCheckMethod(){    this.hasQualifiedName("com.ttice.icewkment.service","ArticleService","GetList")  // 指定包名、类名、方法名    }}

import javafrom Call c, Method mwhere m = c.getCallee() and m.hasName("insert")select c,c.getLocation.getFile().getRelativePath()+":"+c.getLocation().getStartLine(),c.getCaller()

import javafrom Variable v, PrimitiveType ptwhere pt = v.getType() and pt.hasName("int")select v,v.getLocation()

import javaimport semmle.code.java.Collections// 定义一个字段，字段是Collections类型class Listfield extends Field{    Listfield(){        // CollectionType 是 java.util.Collection 参数化的引用类型        this.getType() instanceof CollectionType    }}// 带有list字段的类class ClassWithList extends Class{    ClassWithList(){        // 类中有List字段，或者继承的类有list，或者字段类有list        exists(Field f | this.getAField() = f and f instanceof Listfield) or   exists(ClassWithList svo | this.getAnAncestor = svo) or   exists(Field f, ClassWithList svo | this.getAField() = f and f.getType()=svo)    }}from Class cwhere c instanceof ClassWithListselect c

/** * @id java/examples/vuldemo * @name Dos * @description Dos * @kind path-problem * @problem.severity recommendation * @tags security */ import java import semmle.code.java.dataflow.FlowSources import DataFlow::PathGraph // 去除set方法 class NoSetClass extends Parameter{    NoSetClass(){        not(            this.getCallable().getReturnType().toString() = "void"            and this.getCallable().toString().matches("set%")            and this.getCallable().getNumberOfParameters() = 1         )    } } // 获取参数，要求没有注解或是有注解但注解不是Size class NoAnnOrnotAn extends Parameter{    NoAnnOrnotAn(){        exists(            Annotation an | not an.getType().hasName("Size")            and this=an.getTarget()        )        or not exists(            Annotation an|this=an.getTarget()        )    } } // 实际获取的入参，用上面的条件限制 class ListParameter extends Parameter{    ListParameter(){        this.getType() instanceof CollectionType        and this instanceof NoAnnOrnotAn        and this instanceof NoSetClass    } } class Batch_Dos extends TaintTracking::Configuration{    Batch_Dos(){        this = "FuckDos"    }    // source类型声明    override predicate isSource(DataFlow::Node source){        source.asParameter() instanceof ListParameter    }  // sink定义为dao操作，涉及集合类型    override predicate isSink(DataFlow::Node sink){        exists(MethodAccess m,Expr e | sink.asExpr()=e            and m.getAnArgument().getType() instanceof CollectionType            and m.getAChildExpr().toString().indexOf("Dao") = m.getAChildExpr().toString().length() - 3            and e = m.getAnArgument()        )    }}from Batch_Dos batch, DataFlow::PathNode source, DataFlow::PathNode sinkwhere batch.hasFlowPath(source,sink)select source.getNode(),source,sink,"source"