搜索

[16166] 2020-12-04_Safety：如何检测已安装依赖组件中的已知安全漏洞

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-12-04_Safety：如何检测已安装依赖组件中的已知安全漏洞 S a f e t y ： 如 何 检 测 已 安 装 依 赖 组 件 中 的 已 知 安 全 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 2 - 0 4 S a f e t y S a f e t y 是 一 款 功 能 强 大 的 漏 洞 检 测 工 具 ， 可 以 帮 助 广 大 研 究 人 员 检 测 设 备 上 已 安 装 依 赖 组 件 中 存 在 的 已 知 安 全 漏 洞 。 默 认 配 置 下 ， S a f e t y 使 用 的 是 开 放 P y t h o n 漏 洞 数 据 库 - S a f e t y   D B ， 但 是 大 家 也 可 以 使 用 — k e y 选 项 来 更 新 工 具 ， 并 使 用 p y u p . i o 的 S a f e t y   A P I 。 工 具 安 装 工 具 安 装 我 们 可 以 使 用 p i p 来 安 装 S a f e t y ， 不 过 请 大 家 记 住 ， 当 前 版 本 的 S a f e t y 仅 支 持 P y t h o n   3 . 5 及 其 更 高 版 本 的 环 境 ： 工 具 使 用 工 具 使 用 运 行 下 列 命 令 ， 即 可 判 断 当 前 以 选 择 的 安 装 了 依 赖 组 件 的 虚 拟 环 境 ， 并 检 测 已 知 的 安 全 漏 洞 ： 运 行 之 后 ， 我 们 将 看 到 如 下 图 所 示 的 报 告 界 面 ： 现 在 ， 我 们 来 安 装 一 些 存 在 安 全 问 题 的 依 赖 组 件 ： 接 下 来 ， 再 次 运 行 漏 洞 检 测 命 令 ： 这 一 次 的 扫 描 结 果 如 下 ： 工 具 使 用 样 例 工 具 使 用 样 例 读 取 工 具 所 需 文 件 读 取 工 具 所 需 文 件 跟 p i p 一 样 ， S a f e t y 能 够 读 取 本 地 r e q u i r e m e n t 文 件 ： 从 从 S t d i n 读 取 读 取 S a f e t y 还 能 够 使 用 — s t d i n 参 数 来 从 S t d i n 读 取 输 入 数 据 。 如 需 检 测 一 个 本 地 依 赖 文 件 ， 可 运 行 下 列 命 令 ： p i p   i n s t a l l   s a f e t y s a f e t y   c h e c k p i p   i n s t a l l   i n s e c u r e - p a c k a g e s a f e t y   c h e c k s a f e t y   c h e c k   - r   r e q u i r e m e n t s . t x t
或 者 ， 从 p i p   f r e e z e 的 输 出 读 取 输 入 ： 或 者 ， 检 测 一 个 单 一 依 赖 包 ： 在 在 D o c k e r 中 使 用 中 使 用 S a f e t y S a f e t y 还 能 够 以 D o c k e r 容 器 的 形 式 运 行 ： 使 用 使 用 S a f e t y 源 码 源 码 S a f e t y 的 源 代 码 还 提 供 了 某 些 额 外 的 安 全 功 能 ， 安 装 完 成 之 后 ， 我 们 就 能 够 使 用 常 规 命 令 行 版 本 的 S a f e t y 了 。 点 击 【 这 里 】 即 可 获 取 S a f e t y 源 代 码 。 通 过 通 过 C I 服 务 使 用 服 务 使 用 S a f e t y S a f e t y 还 能 够 配 合 C I 管 道 一 起 使 用 ， 如 果 扫 描 到 了 一 个 漏 洞 的 话 ， 它 会 返 回 一 个 非 零 退 出 状 态 。 T r a v i s ： ： G i t l a b   C I ： ： T o x ： ： 深 度 深 度 G i t H u b 整 合 整 合 如 果 你 想 要 将 S a f e t y 跟 你 自 己 的 G i t H u b 库 进 行 深 度 整 合 的 话 ， 可 以 直 接 使 用 p y u p . i o 中 的 S a f e t y 服 务 ， 即 S a f e t y   C I 。 S a f e t y   C I 能 够 检 测 G i t H u b 库 中 依 赖 组 件 的 c o m m i t 和 p u l l   r e q u e s t ， 并 寻 找 已 知 的 安 全 漏 洞 ， 并 将 检 测 结 果 和 状 态 显 示 在 G i t H u b 中 。 c a t   r e q u i r e m e n t s . t x t   |   s a f e t y   c h e c k   - - s t d i n p i p   f r e e z e   |   s a f e t y   c h e c k   - - s t d i n e c h o   " i n s e c u r e - p a c k a g e = = 0 . 1 "   |   s a f e t y   c h e c k   - - s t d i n e c h o   " i n s e c u r e - p a c k a g e = = 0 . 1 "   |   d o c k e r   r u n   - i   - - r m   p y u p i o / s a f e t y   s a f e t y   c h e c k   - - s t d i n c a t   r e q u i r e m e n t s . t x t   |   d o c k e r   r u n   - i   - - r m   p y u p i o / s a f e t y   s a f e t y   c h e c k   - - s t d i n i n s t a l l :     -   p i p   i n s t a l l   s a f e t y s c r i p t :     -   s a f e t y   c h e c k s a f e t y :     s c r i p t :         -   p i p   i n s t a l l   s a f e t y -   s a f e t y   c h e c k [ t o x ] e n v l i s t   =   p y 3 7 [ t e s t e n v ] d e p s   =         s a f e t y         p y t e s t c o m m a n d s   =         s a f e t y   c h e c k P y t e s t
在 产 品 中 使 用 在 产 品 中 使 用 S a f e t y S a f e t y 是 免 费 且 开 源 的 ， 它 的 底 层 开 放 数 据 库 每 个 月 还 会 更 新 一 次 。 为 了 访 问 到 所 有 最 新 添 加 进 去 的 安 全 漏 洞 ， 我 们 需 要 使 用 一 个 S a f e t y   A P I 密 钥 以 及 一 个 付 费 的 p y u p . i o 账 号 （ 约 9 9 美 元 ） 。 工 具 选 项 工 具 选 项 — k e y 即 p y u p . i o 的 漏 洞 数 据 库 A P I 密 钥 ， 需 要 在 S A F E T Y _ A P I _ K E Y 环 境 变 量 中 设 置 ： — d b 指 向 本 地 数 据 库 的 目 录 路 径 ， 其 中 包 括 i n s e c u r e . j s o n 和 i n s e c u r e _ f u l l . j s o n ： — p r o x y - h o s t 代 理 主 机 的 I P 或 D N S 代 理 端 口 号 代 理 协 议 ( h t t p s 或 h t t p ) — j s o n J S O N 格 式 的 漏 洞 报 告 输 出 ： — f u l l - r e p o r t 获 取 完 整 的 漏 洞 扫 描 报 告 ， 还 包 括 安 全 建 议 ： s a f e t y   c h e c k   - - k e y = 1 2 3 4 5 - A B C D E F G H s a f e t y   c h e c k   - - d b = / h o m e / s a f e t y - d b / d a t a - - p r o x y - p o r t - - p r o x y - p r o t o c o l s a f e t y   c h e c k   - - j s o n [         [                 " d j a n g o " ,                 " < 1 . 2 . 2 " ,                 " 1 . 2 " ,                 " C r o s s - s i t e   s c r i p t i n g   ( X S S )   v u l n e r a b i l i t y   i n   D j a n g o   1 . 2 . x   b e f o r e   1 . 2 . 2   a l l o w s   r e m o t e   a t t a c k e r s   t o   i n j e c t   a r b i t r a r y   w e b   s c r i p t   o r   H T M L   v i a   a   c s r f m i d d l e w a r e t o k e n   ( a k a   c s r f _ t o k e n )   c o o k i e . "                 " 2 5 7 0 1 "         ] ] s a f e t y   c h e c k   - - f u l l - r e p o r t + = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = + |                                                                                                                                                             | |                                                               / $ $ $ $ $ $                         / $ $                                                   |
— b a r e 仅 输 出 包 含 漏 洞 的 依 赖 包 ， 可 结 合 其 他 工 具 一 起 使 用 ： — c a c h e 漏 洞 数 据 库 本 地 缓 存 ， 有 效 时 长 为 两 小 时 ： — s t d i n 从 s t d i n 读 取 输 入 数 据 ： — o u t p u t ,   - o 将 扫 描 结 果 输 出 至 文 件 ： 开 源 许 可 证 协 议 开 源 许 可 证 协 议 本 项 目 的 开 发 与 发 布 遵 循 M I T 开 源 许 可 证 协 议 。 |                                                               / $ $ $ $ $ $                         / $ $                                                   | |                                                             / $ $ _ _     $ $                     |   $ $                                                   | |                       / $ $ $ $ $ $ $     / $ $ $ $ $ $   |   $ $     _ _ / / $ $ $ $ $ $     / $ $ $ $ $ $       / $ $       / $ $                       | |                     / $ $ _ _ _ _ _ /   | _ _ _ _     $ $ |   $ $ $ $       / $ $ _ _     $ $ | _     $ $ _ /     |   $ $     |   $ $                       | |                   |     $ $ $ $ $ $       / $ $ $ $ $ $ $ |   $ $ _ /     |   $ $ $ $ $ $ $ $     |   $ $         |   $ $     |   $ $                       | |                     _ _ _ _     $ $   / $ $ _ _     $ $ |   $ $         |   $ $ _ _ _ _ _ /     |   $ $   / $ $ |   $ $     |   $ $                       | |                     / $ $ $ $ $ $ $ / |     $ $ $ $ $ $ $ |   $ $         |     $ $ $ $ $ $ $     |     $ $ $ $ / |     $ $ $ $ $ $ $                       | |                   | _ _ _ _ _ _ _ /     _ _ _ _ _ _ _ / | _ _ /           _ _ _ _ _ _ _ /       _ _ _ /       _ _ _ _     $ $                       | |                                                                                                                     / $ $     |   $ $                       | |                                                                                                                   |     $ $ $ $ $ $ /                       | |     b y   p y u p . i o                                                                                             _ _ _ _ _ _ /                         | |                                                                                                                                                             | + = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = + |   R E P O R T                                                                                                                                               | + = = = = = = = = = = = = = = = = = = = = = = = = = = = = + = = = = = = = = = = = + = = = = = = = = = = = = = = = = = = = = = = = = = = + = = = = = = = = = = + |   p a c k a g e                                         |   i n s t a l l e d   |   a f f e c t e d                                   |   I D               | + = = = = = = = = = = = = = = = = = = = = = = = = = = = = + = = = = = = = = = = = + = = = = = = = = = = = = = = = = = = = = = = = = = = + = = = = = = = = = = + |   d j a n g o                                           |   1 . 2               |   < 1 . 2 . 2                                       |   2 5 7 0 1         | + = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = + |   C r o s s - s i t e   s c r i p t i n g   ( X S S )   v u l n e r a b i l i t y   i n   D j a n g o   1 . 2 . x   b e f o r e   1 . 2 . 2   a l l o w s   | |     r e m o t e   a t t a c k e r s   t o   i n j e c t   a r b i t r a r y   w e b   s c r i p t   o r   H T M L   v i a   a   c s r f m i d d l e w a r   | |   e t o k e n   ( a k a   c s r f _ t o k e n )   c o o k i e .                                                                                             | + = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = + s a f e t y   c h e c k   - - b a r e c r y p t o g r a p h y   d j a n g o s a f e t y   c h e c k   - - c a c h e c a t   r e q u i r e m e n t s . t x t   |   s a f e t y   c h e c k   - - s t d i n p i p   f r e e z e   |   s a f e t y   c h e c k   - - s t d i n e c h o   " i n s e c u r e - p a c k a g e = = 0 . 1 "   |   s a f e t y   c h e c k   - - s t d i n s a f e t y   c h e c k   - o   i n s e c u r e _ r e p o r t . t x t s a f e t y   c h e c k   - - o u t p u t   - - j s o n   i n s e c u r e _ r e p o r t . j s o n
项 目 地 址 项 目 地 址 S a f e t y ： h t t p s : / / g i t h u b . c o m / p y u p i o / s a f e t y 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理