搜索

[16785] 2021-05-14_如何使用VulnerableCode查看受漏洞影响的FOSS软件代码包

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-05-14_如何使用VulnerableCode查看受漏洞影响的FOSS软件代码包 如 何 使 用 V u l n e r a b l e C o d e 查 看 受 漏 洞 影 响 的 F O S S 软 件 代 码 包 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 5 - 1 4 关 于 关 于 V u l n e r a b l e C o d e V u l n e r a b l e C o d e 是 一 个 免 费 的 开 放 F O S S 软 件 包 漏 洞 数 据 库 ， 并 且 还 包 含 了 能 够 创 建 并 跟 踪 当 前 数 据 的 相 关 工 具 。 在 该 工 具 的 帮 助 下 ， 广 大 研 究 人 员 能 够 查 看 受 漏 洞 影 响 的 代 码 包 ， 并 实 现 漏 洞 的 聚 合 、 关 联 和 管 理 。 F O S S ， 即 F r e e   a n d   O p e n   S o u r c e   S o f t w a r e ， 这 是 联 合 国 教 科 文 组 织 启 用 的 一 个 官 方 术 语 。 “ F O S S 产 业 ” 是 有 新 意 的 ， 严 格 讲 来 ， 它 不 完 全 等 同 于 “ 开 源 产 业 ” 。 F O S S 把 现 代 软 件 业 带 入 一 个 全 新 阶 段 。 “ F O S S ” 的 中 译 文 是 “ 自 由 及 开 源 软 件 ” 。 V u l n e r a b l e C o d e 是 F O S S 社 区 开 发 的 一 款 工 具 ， 它 能 够 提 升 开 源 软 件 生 态 系 统 的 安 全 性 。 运 行 机 制 运 行 机 制 V u l n e r a b l e C o d e l i 独 立 地 聚 合 了 许 多 软 件 漏 洞 数 据 源 ， 并 以 去 中 心 化 的 方 式 支 持 数 据 重 新 创 建 。 这 些 数 据 源 包 括 L i n u x 和 B S D 发 行 版 发 布 的 安 全 建 议 、 应 用 程 序 软 件 包 管 理 器 和 包 存 储 库 、 F O S S 项 目 、 G i t H u b 等 等 。 由 于 这 种 方 法 ， 数 据 集 中 在 特 定 的 生 态 系 统 上 ， 但 在 单 个 数 据 库 中 进 行 聚 合 ， 从 而 能 够 查 询 代 码 包 之 间 更 丰 富 的 关 系 图 。 特 定 性 提 高 了 数 据 的 准 确 性 和 有 效 性 ， 因 为 跨 不 同 生 态 系 统 的 同 一 版 本 上 游 数 据 包 可 能 会 或 可 能 不 会 受 到 同 一 漏 洞 的 影 响 。 工 具 使 用 了 P a c k a g e   U R L   P U R L 来 作 为 主 要 标 识 符 ， 而 没 有 使 用 C P E 。 V u l n e r a b l e C o d e 对 数 据 的 主 要 访 问 是 通 过 R E S T   A P I 进 行 的 。 此 外 ， 工 具 还 提 供 了 一 个 高 级 的 W e b 界 面 来 帮 助 用 户 更 好 地 浏 览 和 搜 索 漏 洞 数 据 库 ， 并 通 过 添 加 新 的 包 和 漏 洞 逐 步 实 现 数 据 的 社 区 管 理 ， 以 及 审 查 和 更 新 它 们 的 关 系 。 工 具 安 装 工 具 安 装 & 配 置 配 置 我 们 需 要 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / n e x B / v u l n e r a b l e c o d e . g i t
使 用 使 用 D o c k e r   C o m p o s e 安 装 V u l n e r a b l e C o d e 最 简 单 的 方 法 就 是 使 用 D o c k e r 容 器 和 D o c k e r   C o m p o s e 。 安 装 好 D o c k e r 引 擎 和 D o c k e r   C o m p o s e 之 后 ， 我 们 就 可 以 使 用 下 列 命 令 来 启 动 V u l n e r a b l e C o d e 了 ： 接 下 来 ， 通 过 下 列 地 址 即 可 访 问 V u l n e r a b l e C o d e ： 别 忘 了 运 行 下 列 命 令 来 在 每 一 次 g i t   p u l l 之 后 同 步 你 的 实 例 ： 然 后 ， 我 们 可 以 使 用 下 列 命 令 来 访 问 V u l n e r a b l e C o d e 容 器 ， 这 里 我 们 可 以 访 问 m a n a g e . p y ， 并 运 行 管 理 命 令 来 导 入 数 据 ： 本 地 安 装 本 地 安 装 系 统 要 求 ： P y t h o n   3 . 8 + P o s t g r e S Q L   9 + 针 对 P y t h o n 和 P o s t g r e S Q L 的 编 译 工 具 链 和 开 发 文 件 在 基 于 D e b i a n 的 发 行 版 系 统 上 ， 可 以 使 用 下 列 下 列 命 令 安 装 和 配 置 V u l n e r a b l e C o d e ： c d   v u l n e r a b l e c o d e s u d o   d o c k e r - c o m p o s e   u p h t t p : / / l o c a l h o s t : 8 0 0 0 / h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / s u d o   d o c k e r - c o m p o s e   u p   - d   - - n o - d e p s   - - b u i l d   w e b s u d o   d o c k e r - c o m p o s e   e x e c   w e b   b a s h s u d o   a p t - g e t   i n s t a l l   p y t h o n 3 - v e n v   p y t h o n 3 - d e v   p o s t g r e s q l   l i b p q - d e v   b u i l d - e s s e n t i a l s u d o   - u   p o s t g r e s   c r e a t e u s e r   - - n o - c r e a t e r o l e   - - n o - s u p e r u s e r   - - l o g i n   - - i n h e r i t   - - c r e a t e d b   - - p w p r o m p t   v u l n e r a b l e c o d e ` ` c r e a t e d b   - - e n c o d i n g = u t f - 8   - - o w n e r = v u l n e r a b l e c o d e     - - u s e r = v u l n e r a b l e c o d e   - - p a s s w o r d   - - h o s t = l o c a l h o s t   - - p o r t = 5 4 3 2   v u l n e r a b l e c o d e p y t h o n 3   - m   v e n v   v e n v s o u r c e   v e n v / b i n / a c t i v a t e p i p   i n s t a l l   - r   r e q u i r e m e n t s . t x t D J A N G O _ D E V = 1   p y t h o n   m a n a g e . p y   c o l l e c t s t a t i c
运 行 测 试 运 行 测 试 下 列 命 令 可 以 运 行 代 码 风 格 检 测 和 测 试 用 例 ： 数 据 导 入 数 据 导 入 某 些 数 据 导 入 工 具 使 用 了 G i t H u b   A P I ， 首 先 我 们 需 要 使 用 下 列 命 令 导 出 G H _ T O K E N 环 境 变 量 ： 运 行 所 有 的 数 据 导 入 器 ： 枚 举 所 有 可 用 的 导 入 器 ： 运 行 指 定 导 入 器 ： R E S T   A P I 访 问 访 问 开 启 W e b 服 务 器 ： 获 取 关 于 A P I 节 点 的 完 整 文 档 ： 连 续 定 期 数 据 导 入 连 续 定 期 数 据 导 入 如 果 你 想 要 持 续 定 期 导 入 数 据 ， 你 可 以 使 用 一 个 系 统 定 时 器 ： D J A N G O _ D E V = 1   p y t h o n   m a n a g e . p y   m i g r a t e b l a c k   - l   1 0 0   - - c h e c k   . D J A N G O _ D E V = 1   p y t h o n   - m   p y t e s t e x p o r t   G H _ T O K E N = y o u r g i t h u b t o k e n D J A N G O _ D E V = 1   p y t h o n   m a n a g e . p y   i m p o r t   - - a l l D J A N G O _ D E V = 1   p y t h o n   m a n a g e . p y   i m p o r t   - - l i s t D J A N G O _ D E V = 1   p y t h o n   m a n a g e . p y   i m p o r t   r u s t   n p m D J A N G O _ D E V = 1   p y t h o n   m a n a g e . p y   r u n s e r v e r h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / a p i / d o c s $   c a t   ~ / . c o n f i g / s y s t e m d / u s e r / v u l n e r a b l e c o d e . s e r v i c e [ U n i t ] D e s c r i p t i o n = U p d a t e   v u l n e r a b i l i t y   d a t a b a s e [ S e r v i c e ] T y p e = o n e s h o t E n v i r o n m e n t = " D J A N G O _ D E V = 1 " E x e c S t a r t = / p a t h / t o / v e n v / b i n / p y t h o n   / p a t h / t o / v u l n e r a b l e c o d e / m a n a g e . p y   i m p o r t   - - a l l
配 置 好 之 后 ， 你 就 可 以 使 用 下 列 命 令 来 开 启 这 个 定 时 器 ： 项 目 地 址 ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 彩 推 荐 精 彩 推 荐 E x e c S t a r t = / p a t h / t o / v e n v / b i n / p y t h o n   / p a t h / t o / v u l n e r a b l e c o d e / m a n a g e . p y   i m p o r t   - - a l l $   c a t   ~ / . c o n f i g / s y s t e m d / u s e r / v u l n e r a b l e c o d e . t i m e r [ U n i t ] D e s c r i p t i o n = P e r i o d i c a l l y   u p d a t e   v u l n e r a b i l i t y   d a t a b a s e [ T i m e r ] O n C a l e n d a r = d a i l y [ I n s t a l l ] W a n t e d B y = m u l t i - u s e r . t a r g e t s y s t e m c t l   - - u s e r   d a e m o n - r e l o a d s y s t e m c t l   - - u s e r   s t a r t   v u l n e r a b l e c o d e . t i m e r
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理