SAST: leer una traza

Una traza de análisis estático tiene tres clases de pasos. La fuente es el punto donde un valor entra al programa desde algo que el programa no controla: un parámetro de la petición, un campo leído de la base de datos, un archivo subido. Los pasos intermedios son las líneas por las que el valor viaja: asignaciones, llamadas a funciones, concatenaciones. El sumidero es la línea donde el valor se usa en una operación sensible, por ejemplo armar y ejecutar una consulta, abrir un archivo o escribir en una página.

Un hallazgo de flujo existe cuando la herramienta encuentra un camino de la fuente al sumidero sin un paso que neutralice el valor. Por eso la traza es la evidencia: sin ella solo tienes el nombre de una regla y un número de línea.

Para saber qué controla un atacante en la práctica hay que mirar la fuente. Si la fuente es un parámetro que llega de fuera, quien envíe la petición decide su contenido. Si la fuente es un campo de la base de datos, hay que preguntar quién lo pudo escribir antes. Mientras no sepas cuál es, no puedes juzgar la gravedad.

En la consola, la consulta SELECT * FROM traza WHERE hallazgo = 'SA-101' muestra los cinco pasos del primer hallazgo. Lee la columna detalle del paso con rol de fuente.

Entre la fuente y el sumidero puede haber un saneador: una función que valida, codifica o restringe el valor para que deje de ser peligroso en ese sumidero. Las herramientas traen listas de saneadores que reconocen. Cuando el equipo escribe el suyo, la herramienta a veces lo muestra en la traza como un paso más y, aun así, reporta el hallazgo.

Que el hallazgo aparezca no significa que el saneador falle, y que haya un saneador no significa que baste. Lo que haces ahora es solo localizarlo: la decisión viene después, con el código y las pruebas del equipo.

La longitud de una traza orienta el trabajo. Una traza corta se revisa en minutos. Una larga atraviesa varios archivos y suele esconder más puntos donde alguien pudo limpiar el valor o donde la herramienta perdió el rastro. Contar los pasos es un primer filtro para repartir la lectura, no una medida de gravedad.

Cuenta los pasos de cada traza del informe y quédate con la mayor.

No todo hallazgo estático es de flujo. Algunas reglas son de patrón: buscan una forma en el código, como una clave escrita en un archivo o un algoritmo de resumen débil, y no necesitan seguir ningún valor. Esos hallazgos llegan sin traza porque no hay recorrido que mostrar.

Mira la tabla de hallazgos y la de trazas, y localiza cuáles hallazgos no tienen filas en la segunda.