SinkFinder

SinkFinder

SinkFinder 是一个闭源系统半自动漏洞挖掘工具，专注于对 jar/war/zip 文件进行静态代码分析。它能够输出从 source 到 sink 的可达路径，并利用大规模语言模型 (LLM) 验证路径的可达性，根据上下文生成可信分数。

主要特点

• 支持多种文件格式：可分析 jar、war 和 zip 文件。
• 路径分析：输出从 source 到 sink 的可达路径，便于识别潜在的安全漏洞。
• 大规模语言模型集成：集成 LLM 来验证路径的安全性，并根据代码上下文提供可信分数。
• 自定义规则配置：支持自定义类黑名单、白名单和 jar 黑白名单，灵活应对不同的代码场景。
• 易于使用的命令行工具：通过命令行参数覆盖配置，简化了使用过程。

优势

• 提高安全性：帮助开发者在编码阶段发现漏洞，降低生产风险。
• 自动化工作流：半自动化的漏洞检测，节省安全审核时间。
• 可扩展性：支持自定义规则和 LLM API 配置，适应不同项目需求。

使用场景

• 主要针对需要进行安全审计的开发团队和企业。