搜索

[14299] 2019-07-02_利用Cobra实现自动化代码审计的经验分享

文档创建者：s7ckTeam
浏览次数：47
最后更新：2025-01-18
2019-07-02_利用Cobra实现自动化代码审计的经验分享 利 用 C o b r a 实 现 自 动 化 代 码 审 计 的 经 验 分 享 b i u b i u g o   F r e e B u f   2 0 1 9 - 0 7 - 0 2 前 言 前 言 本 文 介 绍 了 笔 者 通 过 一 个 简 单 的 方 法 利 用 本 文 介 绍 了 笔 者 通 过 一 个 简 单 的 方 法 利 用 C o b r a 工 具 来 实 现 自 动 化 代 码 审 计 的 经 验 ， 以 及 对 工 具 来 实 现 自 动 化 代 码 审 计 的 经 验 ， 以 及 对 C o b r a 工 具 代 码 的 一 些 定 制 改 动 。 工 具 代 码 的 一 些 定 制 改 动 。 一 、 背 景 一 、 背 景 笔 者 在 某 甲 方 运 维 部 负 责 信 息 安 全 ， 代 码 审 计 已 经 加 入 到 上 线 流 程 里 面 ， 在 没 有 引 入 C o b r a 之 前 用 的 是 绿 色 版 F o r t i f y S C A 。 公 司 是 J a v a 开 发 环 境 ， 每 次 上 线 前 都 需 要 开 发 人 员 单 独 把 未 编 译 的 上 线 源 码 打 包 发 送 给 我 ， 手 动 执 行 审 计 任 务 ， 输 出 报 告 ， 上 传 S V N 等 一 系 列 操 作 。 原 先 的 上 线 源 码 审 计 流 程 如 下 图 ： 这 样 的 弊 端 一 是 源 码 传 输 方 式 不 可 控 ， 二 是 手 动 执 行 审 计 任 务 太 繁 琐 ， 所 以 开 始 寻 找 实 现 自 动 化 审 计 的 方 法 。 因 为 公 司 预 算 吃 ( m e i ) 紧 ( q i a n ) ， 只 能 从 开 源 工 具 上 入 手 。 二 、 需 求 分 析 二 、 需 求 分 析 前 面 有 戳 进 传 送 地 址 的 大 佬 们 应 该 已 经 知 道 了 C o b r a 的 大 概 情 况 ， 它 是 p y t h o n 写 的 ， 支 持 扫 描 文 件 夹 、 压 缩 包 、 G i t h u b ， 支 持 多 种 报 告 格 式 输 出 及 邮 件 发 送 等 等 。 我 这 里 需 要 实 现 的 是 上 线 源 码 自 动 采 集 、 审 计 任 务 自 动 执 行 及 审 计 报 告 自 动 发 送 邮 件 及 上 传 S V N 。 C o b r a 的 基 础 执 行 命 令 是 这 样 的 ： 上 线 源 码 的 自 动 采 集 已 经 在 J e k i n s 上 实 现 了 ， 配 置 管 理 员 将 上 线 源 码 编 译 打 包 后 ， 会 同 时 将 未 编 译 的 上 线 源 码 压 缩 包 通 过 F T P 传 输 到 我 的 C o b r a 服 务 器 。 因 此 ， 现 在 需 要 考 虑 的 就 是 如 何 自 动 对 这 些 传 输 过 来 的 源 码 执 行 审 计 任 务 。 三 、 实 现 方 法 三 、 实 现 方 法 我 通 过 一 个 简 单 的 p y t h o n 脚 本 实 现 了 以 上 的 需 求 ， 这 里 把 这 个 脚 本 称 作 调 度 脚 本 吧 ， 整 个 自 动 化 项 目 的 结 构 和 逻 辑 如 下 ： p y t h o n   c o b r a . p y   - t   c o d e _ p a t h   - o   r e p o r t _ f o r m a t   - o   e m a i l _ a d d r
上 图 各 目 录 作 用 如 下 ： F T P 目 录 ： 用 于 接 收 J e k i n s 服 务 器 传 输 过 来 的 未 编 译 的 上 线 源 码 压 缩 包 。 C o b r a 目 录 ： C o b r a 工 具 的 代 码 目 录 。 S V N 目 录 ： 用 于 存 放 及 上 传 C o b r a 输 出 的 代 码 审 计 报 告 。 调 度 脚 本 的 主 要 函 数 介 绍 如 下 ： 通 过 这 个 调 度 脚 本 ， 原 先 的 上 线 审 计 流 程 就 完 全 实 现 自 动 化 了 ， 我 只 需 要 在 收 到 审 计 报 告 后 查 看 一 下 结 果 ， 自 动 化 后 流 程 图 如 下 ： 四 、 定 制 四 、 定 制 C o b r a 由 于 C o b r a 原 始 发 送 过 来 的 邮 件 内 容 比 较 单 一 ， 我 根 据 自 己 的 需 求 改 动 了 一 下 它 的 代 码 ， 主 要 改 动 了   . / c o b r a / e n g i n e . p y 、 . / c o b r a / s e n d _ m a i l . p y 和 . / c o b r a / c l i . p y 三 个 文 件 的 内 容 ， 改 动 前 后 的 邮 件 内 容 对 比 如 下 ：   主 要 改 动 的 内 容 如 下 ： 1 . C o b r a 审 计 结 果 加 入 风 险 数 量 统 计 2 . 报 告 文 件 名 改 为 上 线 源 码 包 名 3 . 邮 件 内 容 加 入 S V N 地 址 和 风 险 数 量 统 计 4 . 1   C o b r a 审 计 结 果 加 入 风 险 数 量 统 计 该 功 能 改 动 的 是 e n g i n e . p y ， C o b r a 审 计 结 果 的 L e v e l 字 段 通 过 H - x x 、 M - x x 和 L - x x （ x x 为 数 字 ） 来 标 记 高 中 低 三 个 等 级 的 风 险 ， 因 此 利 用 c o u n t 函 数 统 计 这 几 个 字 符 就 可 以 实 现 风 险 数 量 统 计 ， 代 码 如 下 ： 1 . m k d i r ( ) : 在 S V N 目 录 中 根 据 当 前 日 期 安 装 年 月 日 分 级 建 立 目 录 并 同 步 到 S V N ， 方 便 后 续 上 传 审 计 报 告 。 2 . c o d e _ d e t e c t ( ) : 通 过 循 环 执 行 l i s t d i r 函 数 ， 检 测 F T P 目 录 下 是 否 存 在 上 线 源 码 压 缩 包 。 3 . c o d e _ s c a n ( ) : 步 骤 2 中 检 测 到 源 码 包 后 逐 个 执 行 C o b r a 工 具 的 审 计 命 令 ： p y t h o n   c o b r a . p y   - t   c o d e _ p a t h   - o   r e p o r t _ f o r m a t   - o   e m a i l _ a d d r ， 任 务 结 束 后 删 除 源 码 包 ， 将 报 告 输 出 到 S V N 目 录 。 4 . c o d e 2 s v n ( ) : 将 步 骤 3 中 输 出 的 报 告 上 传 到 S V N 服 务 器 。   g l o b a l   h _ c
这 里 通 过 g l o b a l 定 义 全 局 变 量 的 原 因 是 方 便 s e n d _ m a i l 功 能 调 用 这 个 变 量 ， 从 而 实 现 在 邮 件 内 容 中 显 示 统 计 数 量 ， 而 s t a t i s 是 c o b r a 输 出 的 审 计 结 果 内 容 。 4 . 2   报 告 文 件 名 改 为 上 线 源 码 包 名 报 告 文 件 名 改 为 上 线 源 码 包 名 这 里 比 较 简 单 ， 直 接 将 c l i . p y 第 1 2 2 行 在 生 成 附 件 名 称 ( a t t a c h m e n t _ n a m e ) 时 ， 将 本 来 的 随 机 数 s _ s i d 改 为 源 码 包 名 t a r g e t 即 可 。 4 . 3   邮 件 内 容 加 入 邮 件 内 容 加 入 S V N 地 址 及 风 险 数 量 地 址 及 风 险 数 量 审 计 报 告 的 S V N 地 址 在 调 度 脚 本 执 行 上 传 S V N 操 作 的 时 候 已 经 生 成 ， 但 是 为 了 避 免 跨 目 录 跨 模 块 传 输 变 量 值 的 麻 烦 ， 我 直 接 在 s e n d _ m a i l . p y 文 件 里 面 重 新 生 成 了 S V N 地 址 风 险 数 量 则 是 调 用 e n g i n e . p y 中 的 h _ c 、 m _ c 和 l _ c 三 个 变 量 值 ， 下 面 分 享 一 下 生 成 邮 件 内 容 的 代 码 。 改 动 前 内 容 ： 改 动 后 内 容 ： 邮 件 内 容 在 这 里 生 成 之 后 ， 由 c l i . p y 第 1 2 6 行 调 用 执 行 发 送 。 5 . 总 结 总 结 本 文 分 享 了 笔 者 是 如 ( g o n g ) 何 ( s i ) 低 ( m e i ) 成 ( y o u ) 本 ( q i a n ) 利 用 一 个 简 单 p y t h o n 调 度 脚 本 搭 建 基 于 C o b r a 的 自 动 化 代 码 审 计 平 台 的 经 验 ， 感 谢 C o b r a 团 队 。 第 一 次 发 贴 ， 希 望 各 位 大 佬 轻 点 喷 。 C o b r a 工 具 有 兴 趣 的 大 佬 们 可 以 点 击 底 部 阅 读 原 文 下 载 。 * 本 文 作 者 ： 本 文 作 者 ： b i u b i u g o ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐   g l o b a l   h _ c         g l o b a l   m _ c         g l o b a l   l _ c         h _ c   =   s t r ( s t a t i s . c o u n t ( ' H - ' ) )         m _ c   =   s t r ( s t a t i s . c o u n t ( ' M - ' ) )         l _ c   =   s t r ( s t a t i s . c o u n t ( ' L - ' ) )         l o g g e r . i n f o ( ' [ S T A T I S ]   H i g h   l e v e l   c o u n t :   '   +   h _ c   +   '   M i d d l e   l e v e l   c o u n t :   '   +   m _ c   +   '   L o w   l e v e l   c o u n t :   '   +   l _ c ) #   匹 配 邮 箱 地 址         i f   r e . m a t c h ( r ' ^ [ A - Z a - z d ] + ( [ - _ . ] [ A - Z a - z d ] + ) * @ ( [ A - Z a - z d ] + [ - . ] ) + [ A - Z a - z d ] { 2 , 4 } $ ' ,   o u t p u t ) :                 #   生 成 邮 件 附 件                 a t t a c h m e n t _ n a m e   =   [ t a r g e t ]   +   ' . '   +   f o r m a t t e r                 w r i t e _ t o _ f i l e ( t a r g e t = t a r g e t ,   s i d = s _ s i d ,   o u t p u t _ f o r m a t = f o r m a t t e r ,   f i l e n a m e = a t t a c h m e n t _ n a m e )                 #   发 送 邮 件                 s e n d _ m a i l ( t a r g e t = t a r g e t ,   f i l e n a m e = a t t a c h m e n t _ n a m e ,   r e c e i v e r = o u t p u t ) s _ s i d   =   f i l e n a m e . s p l i t ( ' . ' ) [ 0 ]         m s g   =   M I M E M u l t i p a r t ( )         m s g [ ' F r o m ' ]   =   s e n d e r         m s g [ ' T o ' ]   =   r e c e i v e r         m s g [ ' S u b j e c t ' ]   =   ' 编 号   { s i d }   项 目   C o b r a   扫 描 报 告 ' . f o r m a t ( s i d = s _ s i d )         m s g . a t t a c h ( M I M E T e x t ( ' 扫 描 项 目 ： { t } n 报 告 见 附 件 ' . f o r m a t ( t = t a r g e t ) ,   ' p l a i n ' ,   ' u t f - 8 ' ) )   s _ s i d   =   f i l e n a m e . s p l i t ( ' . ' ) [ 0 ]         m s g   =   M I M E M u l t i p a r t ( )         m s g [ ' F r o m ' ]   =   s e n d e r         m s g [ ' T o ' ]   =   r e c e i v e r         m s g [ ' S u b j e c t ' ]   =   ' { t } 代 码 审 计 报 告 ' . f o r m a t ( t = t a r g e t [ 2 2 : ] )         i f   e x i s t s ( f i l e n a m e ) :                 m s g . a t t a c h ( M I M E T e x t ( ' 扫 描 项 目 ： { t } n n S v n 地 址 ： n { s } n n 风 险 数 量 统 计 ： n 高 危 ： { h } n 中 危 ： { m } n 低 危 ： { l } n n 报 告 见 附 件 ' . f o r m a t ( t = t a r g e t [ 2 2 : ] , s = r e u r l , h = e g . h _ c , m = e g . m _ c , l = e g . l _ c ) ,  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理