搜索

[12925] 2018-07-09_甲方安全中心建设：代码审计系统

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-07-09_甲方安全中心建设：代码审计系统 甲 方 安 全 中 心 建 设 ： 代 码 审 计 系 统 陌 度   F r e e B u f   2 0 1 8 - 0 7 - 0 9 *   本 文 作 者 ： 陌 度 ， 本 文 属 本 文 作 者 ： 陌 度 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 纵 观 甲 方 的 安 全 体 系 建 设 ， 最 开 始 和 最 重 要 的 那 一 部 分 就 是 代 码 安 全 。 甲 方 公 司 内 部 有 很 多 项 目 ， 每 个 项 目 都 纵 观 甲 方 的 安 全 体 系 建 设 ， 最 开 始 和 最 重 要 的 那 一 部 分 就 是 代 码 安 全 。 甲 方 公 司 内 部 有 很 多 项 目 ， 每 个 项 目 都 由 不 同 的 开 发 人 员 进 行 开 发 ， 所 以 项 目 开 发 水 平 也 是 参 差 不 齐 ， 也 就 是 说 有 很 大 可 能 产 生 漏 洞 由 不 同 的 开 发 人 员 进 行 开 发 ， 所 以 项 目 开 发 水 平 也 是 参 差 不 齐 ， 也 就 是 说 有 很 大 可 能 产 生 漏 洞 ( S Q L 注 注 入 ， 入 ， X S S ， 命 令 执 行 等 ， 命 令 执 行 等 ) 。 很 多 甲 方 公 司 公 司 无 法 将 。 很 多 甲 方 公 司 公 司 无 法 将 S D L 彻 底 落 地 除 了 彻 底 落 地 除 了 D e v O p s 的 频 繁 交 付 ， 还 有 就 是 安 全 工 程 的 频 繁 交 付 ， 还 有 就 是 安 全 工 程 师 无 法 在 短 时 间 内 对 大 量 项 目 的 源 代 码 进 行 人 工 审 计 。 基 于 上 面 这 个 原 因 ， 我 自 己 写 了 一 个 自 动 化 代 码 审 计 的 师 无 法 在 短 时 间 内 对 大 量 项 目 的 源 代 码 进 行 人 工 审 计 。 基 于 上 面 这 个 原 因 ， 我 自 己 写 了 一 个 自 动 化 代 码 审 计 的 系 统 ， 为 了 让 自 己 能 够 偷 懒 ， 减 少 工 作 量 ， 提 升 工 作 效 率 。 系 统 ， 为 了 让 自 己 能 够 偷 懒 ， 减 少 工 作 量 ， 提 升 工 作 效 率 。 该 系 统 是 使 用 p y t h o n 3 的 d j a n g o 去 开 发 ， 队 列 使 用 c e l e r y + r e d i s ， 最 后 调 用 代 码 审 计 工 具 f o r t i f y 进 行 审 计 代 码 。 安 装 安 装 源 码 的 地 址 : h t t p s : / / g i t h u b . c o m / y i n g s h a n g / b a n r u o . g i t d o c k e r 安 装 ， 具 体 可 以 去 查 看 源 码 的 d o c k e r 目 录 演 示 的 d o c k e r ， 里 面 有 一 些 测 试 数 据 。 （ 很 奇 怪 ， 在 最 小 安 装 版 的 c e n t o s 7 启 动 不 起 来 ， 但 是 图 形 系 统 又 可 以 启 动 。 可 以 直 接 使 用 U b u n t u 启 动 这 个 d o c k e r ） 系 统 架 构 系 统 架 构 系 统 分 为 下 面 几 个 部 分 : 1 . 报 告 图 表 报 告 图 表 报 告 图 表 我 使 用 e c h a r t s 进 行 渲 染 生 成 图 表 ， 这 里 面 包 括 周 报 周 报 、 月 报 月 报 和 年 报 年 报 ， 图 表 中 有 漏 洞 趋 势 漏 洞 趋 势 和 高 危 漏 洞 占 比 高 危 漏 洞 占 比 。 F R O M   u b u n t u : 1 6 . 0 4 C O P Y   r u n . s h   / o p t / r u n . s h C O P Y   s o u r c e s . l i s t   / e t c / a p t / s o u r c e s . l i s t C O P Y   f o r t i f y _ l i n u x   / o p t / f o r t i f y _ l i n u x E N V   D E B I A N _ F R O N T E N D   n o n i n t e r a c t i v e       R U N   c h m o d   7 7 7   / o p t / r u n . s h R U N   a p t - g e t   u p d a t e   - y       & &   a p t - g e t   i n s t a l l   - y   m y s q l - s e r v e r   m y s q l - c l i e n t   l i b m y s q l c l i e n t - d e v   - - n o - i n s t a l l - r e c o m m e n d s       & &   a p t - g e t   c l e a n       & &   r m   - r f   / v a r / l i b / a p t / l i s t s / *   / t m p / *   / v a r / t m p / * R U N   a p t - g e t   u p d a t e   - y R U N   a p t - g e t   i n s t a l l   - y   r e d i s - s e r v e r     u n z i p   p y t h o n 3 - p i p   w g e t   v i m   g i t   l i b f f i - d e v   l i b s s l - d e v     l i b j p e g 8 - d e v   z l i b 1 g - d e v   l i b x m l 2 - d e v   l i b x s l t - d e v   l i b y a m l - c p p - d e v   R U N   p i p 3   i n s t a l l   d j a n g o R U N   p i p 3   i n s t a l l     m i t m p r o x y = = 0 . 1 8 . 2   R U N   p i p 3   i n s t a l l   d j a n g o - c e l e r y   r e d i s   p y m y s q l R U N   p i p 3   i n s t a l l   t y p i n g R U N   c d   / o p t   & &   g i t   c l o n e   h t t p s : / / g i t h u b . c o m / y i n g s h a n g / b a n r u o . g i t R U N   s e r v i c e   m y s q l   s t a r t   & &   m y s q l   - e   " c r e a t e     d a t a b a s e   b a n r u o   D E F A U L T   C H A R S E T   u t f 8   C O L L A T E   u t f 8 _ g e n e r a l _ c i ;   "   & &   m y s q l   - e   " s e t   p a s s w o r d   f o r   ' r o o t ' @ ' l o c a l h o s t '   = p a s s w o r d ( ' 1 2 3 4 5 6 ' ) ; " R U N   s e r v i c e   m y s q l   s t a r t   & &     c d   / o p t / b a n r u o   & &   p y t h o n 3   m a n a g e . p y   m a k e m i g r a t i o n s   & &   p y t h o n 3   m a n a g e . p y   m i g r a t e R U N   m k d i r   / d a t a   & &   m k d i r   / d a t a / f o r t i f y   & &   m k d i r   / d a t a / f o r t i f y / r e p o r t   & &   c h m o d   7 7 7   / d a t a   - R # 这 个 是 f o r t i f y 的 运 行 程 序 # R U N   c h m o d   7 7 7   - R   / o p t / f o r t i f y _ l i n u x /   & &   l n   - s   / o p t / f o r t i f y _ l i n u x / b i n / s o u r c e a n a l y z e r   / u s r / l o c a l / b i n / s o u r c e a n a l y z e r   & &   l n   - s   / o p t / f o r t i f y _ l i n u x / b i n / R e p o r t G e n e r a t o r   / u s r / l o c a l / b i n / R e p o r t G e n e r a t o r E X P O S E   8 0 0 0 E N T R Y P O I N T   / o p t / r u n . s h d o c k e r   r u n   - i t   - p   8 0 0 0 : 8 0 0 0   w u s h a n g l e o n / s c
2 . 项 目 扫 描 项 目 扫 描 我 在 设 计 要 怎 么 拖 取 项 目 进 行 扫 描 的 时 候 ， 想 过 要 不 要 直 接 调 取 g i t l a b 或 者 j e n k i n s 的 接 口 ， 但 是 感 觉 这 样 太 麻 烦 了 ， 还 不 如 干 脆 直 接 拉 取 项 目 。 ① g i t 项 目 扫 描 ， 这 个 功 能 只 支 持 对 单 个 项 目 进 行 扫 描 ， 适 合 于 扫 描 单 个 项 目 的 代 码 。 ② g i t - l i s t 扫 描 ， 这 个 功 能 支 持 对 多 个 项 目 批 量 扫 描 ， 我 在 配 置 文 件 设 置 了 两 种 扫 描 方 案 ， 一 种 是 本 地 文 本 文 件 里 面 有 多 个 项 目 的 g i t 地 址 （ 推 荐 ） ， 一 种 服 务 器 运 行 一 个 接 口 ， 通 过 调 取 这 个 接 口 获 取 项 目 的 g i t 地 址 。 这 里 可 以 去 d j a n g o 的 后 台 设 置 定 时 计 划 ， 我 是 每 天 凌 晨 的 时 候 去 跑 项 目 ， 因 为 晚 上 服 务 器 没 有 人 用 。 下 面 是 w e b - a p i ③ s v n 扫 描 ， 对 于 这 个 功 能 我 感 觉 可 有 可 无 ， 对 于 中 型 企 业 一 般 都 是 本 地 搭 建 g i t l a b 做 版 本 控 制 ， 主 要 是 我 没 用 到 S V N = = ④ 压 缩 包 上 传 ， 这 个 功 能 只 支 持 单 个 项 目 进 行 扫 描 ， 并 且 只 允 许 上 传 Z I P 文 件 。 # g i t - l i s t h t t p : / / 1 9 2 . 1 6 8 . 1 . 2 1 0 : 8 8 8 0 / r o o t / d v w a . g i t h t t p : / / 1 9 2 . 1 6 8 . 1 . 2 1 0 : 8 8 8 0 / r o o t / t e s t . g i t
3 . 项 目 情 况 项 目 情 况 这 个 功 能 显 示 每 个 项 目 的 名 字 ， 漏 洞 总 数 ， 以 及 扫 描 的 类 型 ， 点 击 项 目 的 序 号 进 入 到 项 目 详 情 查 看 项 目 的 具 体 情 况 ， 里 面 包 括 项 目 高 危 漏 洞 分 布 的 图 表 和 漏 洞 代 码 的 位 置 ， 这 样 就 可 以 很 快 定 位 到 漏 洞 的 问 题 。 还 有 一 个 重 新 审 计 的 功 能 ， 这 个 功 能 不 支 持 压 缩 类 型 的 重 新 审 计 ， 毕 竟 你 还 不 如 直 接 上 传 审 计 。 （ 对 于 代 码 高 亮 那 一 部 分 是 借 鉴 了 c o b r a 的 代 码 = - = ） 这 些 漏 洞 标 题 、 漏 洞 描 述 、 修 复 建 议 是 参 照 f o r t i f y 报 告 的 描 述 ， 但 是 f o r t i f y 是 英 文 ， 我 在 i n f o . p y 翻 译 成 中 文 ， 我 只 翻 译 了 严 重 和 高 危 的 漏 洞 的 描 述 。
4 . 禅 道 禅 道 对 于 一 个 安 全 老 油 条 来 说 ， 甩 锅 甩 锅 这 个 技 能 是 必 须 要 学 的 。 由 于 开 发 本 身 就 忙 于 项 目 的 开 发 进 度 ， 肯 定 没 有 时 间 去 看 你 的 项 目 情 况 （ 那 这 些 给 谁 看 ， 肯 定 给 领 导 看 啊 =   = ） ， 所 以 才 需 要 禅 道 的 存 在 。 因 为 假 如 由 于 这 个 漏 洞 出 现 的 安 全 问 题 ， 一 追 踪 发 现 是 开 发 没 有 根 据 禅 道 的 记 录 去 修 改 ， 于 是 就 可 以 杀 开 发 祭 天 ， n i c e ， 逃 过 一 劫 。 但 是 正 确 的 态 度 还 是 要 跟 开 发 撕 ， 撕 到 这 个 问 题 被 解 决 。 由 于 本 人 不 想 花 时 间 去 研 究 禅 道 的 接 口 ， 干 脆 直 接 简 单 粗 暴 将 漏 洞 的 记 录 直 接 写 进 数 据 库 里 面 。 对 于 禅 道 的 功 能 ， 我 设 置 了 三 个 功 能 以 完 成 发 送 到 禅 道 系 统 里 面 进 行 展 示 。 ① 批 量 隐 藏 ， 为 什 么 不 是 删 除 呢 ？ 因 为 我 是 根 据 漏 洞 的 标 题 + 漏 洞 的 项 目 + 漏 洞 的 文 件 名 + 漏 洞 的 处 于 的 行 数 进 行 生 成 一 个 M D 5 值 ， 当 你 删 除 之 后 ， 下 一 次 这 个 漏 洞 会 再 次 生 成 ， 所 以 只 能 将 这 条 记 录 隐 藏 。 ② 过 滤 漏 洞 ， 遍 历 所 有 项 目 ， 找 到 新 发 现 的 漏 洞 （ 数 据 库 没 有 这 个 漏 洞 的 记 录 ） 并 保 存 在 数 据 库 里 面 。 ③ 发 送 到 禅 道 。 一 般 过 滤 漏 洞 之 后 ， 有 些 问 题 是 误 报 ， 作 为 一 个 专 业 的 安 全 工 程 师 ， 你 不 可 能 直 接 将 误 报 发 给 开 发 ， 让 开 发 嘲 笑 。 这 时 候 就 需 要 使 用 隐 藏 功 能 ， 将 这 条 误 报 记 录 给 隐 藏 下 来 。 最 后 筛 选 过 后 ， 直 接 将 记 录 写 到 禅 道 的 数 据 库 里 面 。 ④ 邮 件 系 统 。 这 个 功 能 是 一 个 d j a n g o 后 台 设 置 定 时 发 送 邮 件 给 开 发 组 ， 告 诉 他 们 去 认 坑 。 为 什 么 不 适 用 禅 道 的 邮 件 ？ 因 为 直 接 写 进 数 据 库 是 不 发 送 邮 件 的 。 禅 道 系 统 的 设 置 ： 新 建 一 个 产 品 叫 安 全 审 计 ， 在 项 目 添 加 对 应 的 g i t 的 项 目 ， 添 加 负 责 人 =   = 讲 真 ， 这 一 部 分 要 根 据 自 身 的 业 务 做 一 个 调 整
说 一 下 禅 道 和 我 这 个 系 统 的 链 接 配 置 ， p e r s o n _ i n f o 这 个 表 是 保 存 禅 道 项 目 的 负 责 人 和 项 目 I D ， 发 送 过 程 的 时 候 获 取 这 些 信 息 加 入 到 S Q L 中 ， 最 后 执 行 这 段 S Q L 写 入 禅 道 的 数 据 库 。
配 置 配 置 在 b a n r u o 文 件 下 中 c o n f i g . p y 是 全 局 的 配 置 文 件 禅 道 系 统 的 测 试 可 以 参 照 这 篇 文 章 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 2 8 0 3 9 2 9 7 / a r t i c l e / d e t a i l s / 7 8 6 5 0 5 5 2 结 尾 结 尾 假 如 你 没 有 f o r t i f y 的 L i n u x 版 ， 这 一 切 将 不 存 在 。 。 。 *   本 文 作 者 ： 陌 度 ， 本 文 属 本 文 作 者 ： 陌 度 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 # f o r t i f y 的 配 置 路 径 f o r t i f y _ p a t h   =   " / d a t a / f o r t i f y / "   # f o r t i f y 报 告 生 成 的 路 径 r e p o r t _ p a t h   =   " / d a t a / f o r t i f y / r e p o r t / " # G i t A P I 配 置 , 1 为 文 档 ， 2 为 w e b - a p i g i t _ u s e r n a m e   =   ' a d m i n @ e x a m p l e . c o m ' g i t _ p a s s w o r d   =   ' a b c 1 2 3 4 5 6 ' g i t _ a p i _ c h o i c e   =   1 # 这 个 是 我 自 己 写 的 一 个 测 试 接 口 g i t _ a p i _ a d r e s s   =   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 0 0 / a d u i t / a p i _ t e s t " p a r m   =   " g i t l a b _ u r l " # 方 案 1 接 口 的 路 径 g i t _ f i l e p a t h   =   " / o p t / g i t - l i s t " # 过 滤 f o r t i f y 的 高 危 漏 洞 到 禅 道 数 据 表 里 面 f i l t e r _ t i t l e   =   [ ' I n j e c t i o n ' ,   ' C r o s s - S i t e   S c r i p t i n g ' ] # 发 送 禅 道 的 设 置 ， 不 使 用 禅 道 的 接 口 ， 直 接 写 入 数 据 库 o p e n e d B y   =   ' 1 '   # 创 建 人 I D p r o d u c t   =   ' 3 '   # 项 目 的 I D M Y S Q L _ H O S T   =   ' 1 9 2 . 1 6 8 . 1 . 2 1 0 ' M Y S Q L _ U S E R   =   ' r o o t ' M Y S Q L _ P A S S W O R D   =   ' 1 2 3 4 5 6 ' M Y S Q L _ D A T A B A S E   =   ' z e n t a o ' M Y S Q L _ P O R T   =   3 3 0 7 # 邮 件 设 置 M A I L _ H O S T   =   " s m t p . 1 6 3 . c o m " M A I L _ U S E R   =   " " M A I L _ P A S S W O R D   =   " "

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理