成人免费xxxxx在线视频软件_久久精品久久久_亚洲国产精品久久久_天天色天天色_亚洲人成一区_欧美一级欧美三级在线观看

使用 gosec 檢查 Go 代碼中的安全問題

作者： lxbowlf
安全 應(yīng)用安全
像其他語言一樣，Go 也有它的長處和短處(如安全缺陷)。這些缺陷可能會因為語言本身的缺陷加上程序員編碼不當(dāng)而產(chǎn)生，例如，C 代碼中的內(nèi)存安全問題。

Go 語言 寫的代碼越來越常見，尤其是在容器、Kubernetes 或云生態(tài)相關(guān)的開發(fā)中。Docker 是最早采用 Golang 的項目之一，隨后是 Kubernetes，之后大量的新項目在眾多編程語言中選擇了 Go。

[[344882]]

像其他語言一樣，Go 也有它的長處和短處(如安全缺陷)。這些缺陷可能會因為語言本身的缺陷加上程序員編碼不當(dāng)而產(chǎn)生，例如，C 代碼中的內(nèi)存安全問題。

無論它們出現(xiàn)的原因是什么，安全問題都應(yīng)該在開發(fā)過程的早期修復(fù)，以免在封裝好的軟件中出現(xiàn)。幸運的是，靜態(tài)分析工具可以幫你以更可重復(fù)的方式處理這些問題。靜態(tài)分析工具通過解析用某種編程語言寫的代碼來找到問題。

這類工具中很多被稱為 linter。傳統(tǒng)意義上，linter 更注重的是檢查代碼中編碼問題、bug、代碼風(fēng)格之類的問題，它們可能不會發(fā)現(xiàn)代碼中的安全問題。例如， Coverity 是一個很流行的工具，它可以幫助尋找 C/C++ 代碼中的問題。然而，也有一些工具專門用來檢查源碼中的安全問題。例如， Bandit 可以檢查 Python 代碼中的安全缺陷。而 gosec 則用來搜尋 Go 源碼中的安全缺陷。gosec 通過掃描 Go 的 AST( 抽象語法樹(abstract syntax tree))來檢查源碼中的安全問題。

開始使用 gosec

在開始學(xué)習(xí)和使用 gosec 之前，你需要準(zhǔn)備一個 Go 語言寫的項目。有這么多開源軟件，我相信這不是問題。你可以在 GitHub 的 熱門 Golang 倉庫 中找一個。

本文中，我隨機選了 Docker CE 項目，但你可以選擇任意的 Go 項目。

安裝 Go 和 gosec

如果你還沒安裝 Go，你可以先從倉庫中拉取下來。如果你用的是 Fedora 或其他基于 RPM 的 Linux 發(fā)行版本：

  1. $ dnf install golang.x86_64 

如果你用的是其他操作系統(tǒng)，請參照 Golang 安裝 頁面。

使用 version 參數(shù)來驗證 Go 是否安裝成功：

  1. $ go version 
  2. go version go1.14.6 linux/amd64 

運行 go get 命令就可以輕松地安裝 gosec：

  1. $ go get github.com/securego/gosec/cmd/gosec 

上面這行命令會從 GitHub 下載 gosec 的源碼，編譯并安裝到指定位置。在倉庫的 README 中你還可以看到 安裝該工具的其他方法 。

gosec 的源碼會被下載到 $GOPATH 的位置，編譯出的二進制文件會被安裝到你系統(tǒng)上設(shè)置的 bin 目錄下。你可以運行下面的命令來查看 $GOPATH 和 $GOBIN 目錄：

  1. $ go env | grep GOBIN 
  2. GOBIN="/root/go/gobin" 
  3. $ go env | grep GOPATH 
  4. GOPATH="/root/go" 

如果 go get 命令執(zhí)行成功，那么 gosec 二進制應(yīng)該就可以使用了：

  1. $ ls -l ~/go/bin/ 
  2. total 9260 
  3. -rwxr-xr-x. 1 root root 9482175 Aug 20 04:17 gosec 

你可以把 $GOPATH 下的 bin 目錄添加到 $PATH 中。這樣你就可以像使用系統(tǒng)上的其他命令一樣來使用 gosec 命令行工具(CLI)了。

  1. $ which gosec 
  2. /root/go/bin/gosec 
  3. $ 

使用 gosec 命令行工具的 -help 選項來看看運行是否符合預(yù)期：

  1. $ gosec -help 
  2. gosec - Golang security checker 
  3. gosec analyzes Go source code to look for common programming mistakes that 
  4. can lead to security problems. 
  5. VERSION: dev 
  6. GIT TAG: 
  7. BUILD DATE: 
  8. USAGE: 

之后，創(chuàng)建一個目錄，把源碼下載到這個目錄作為實例項目(本例中，我用的是 Docker CE)：

  1. $ mkdir gosec-demo 
  2. $ cd gosec-demo/ 
  3. $ pwd 
  4. /root/gosec-demo 
  5. $ git clone https://github.com/docker/docker-ce.git 
  6. Cloning into 'docker-ce'... 
  7. remote: Enumerating objects: 1271, done. 
  8. remote: Counting objects: 100% (1271/1271), done. 
  9. remote: Compressing objects: 100% (722/722), done. 
  10. remote: Total 431003 (delta 384), reused 981 (delta 318), pack-reused 429732 
  11. Receiving objects: 100% (431003/431003), 166.84 MiB | 28.94 MiB/s, done. 
  12. Resolving deltas: 100% (221338/221338), done. 
  13. Updating files: 100% (10861/10861), done. 

代碼統(tǒng)計工具(本例中用的是 cloc)顯示這個項目大部分是用 Go 寫的，恰好迎合了 gosec 的功能。

  1. $ ./cloc /root/gosec-demo/docker-ce/ 
  2.    10771 text files. 
  3.     8724 unique files.                                           
  4.     2560 files ignored. 
  5. ----------------------------------------------------------------------------------- 
  6. Language                         files          blank        comment           code 
  7. ----------------------------------------------------------------------------------- 
  8. Go                                7222         190785         230478        1574580 
  9. YAML                                37           4831            817         156762 
  10. Markdown                           529          21422              0          67893 
  11. Protocol Buffers                   149           5014          16562          10071 

使用默認(rèn)選項運行 gosec

在 Docker CE 項目中使用默認(rèn)選項運行 gosec，執(zhí)行 gosec ./... 命令。屏幕上會有很多輸出內(nèi)容。在末尾你會看到一個簡短的 “Summary”，列出了瀏覽的文件數(shù)、所有文件的總行數(shù)，以及源碼中發(fā)現(xiàn)的問題數(shù)。

  1. $ pwd 
  2. /root/gosec-demo/docker-ce 
  3. $ time gosec ./... 
  4. [gosec] 2020/08/20 04:44:15 Including rules: default 
  5. [gosec] 2020/08/20 04:44:15 Excluding rules: default 
  6. [gosec] 2020/08/20 04:44:15 Import directory: /root/gosec-demo/docker-ce/components/engine/opts 
  7. [gosec] 2020/08/20 04:44:17 Checking package: opts 
  8. [gosec] 2020/08/20 04:44:17 Checking file: /root/gosec-demo/docker-ce/components/engine/opts/address_pools.go 
  9. [gosec] 2020/08/20 04:44:17 Checking file: /root/gosec-demo/docker-ce/components/engine/opts/env.go 
  10. [gosec] 2020/08/20 04:44:17 Checking file: /root/gosec-demo/docker-ce/components/engine/opts/hosts.go 
  11. # End of gosec run 
  12. Summary: 
  13.    Files: 1278 
  14.    Lines: 173979 
  15.    Nosec: 4 
  16.   Issues: 644 
  17. real    0m52.019s 
  18. user    0m37.284s 
  19. sys     0m12.734s 
  20. $ 

滾動屏幕你會看到不同顏色高亮的行：紅色表示需要盡快查看的高優(yōu)先級問題，黃色表示中優(yōu)先級的問題。

關(guān)于誤判

在開始檢查代碼之前，我想先分享幾條基本原則。默認(rèn)情況下，靜態(tài)檢查工具會基于一系列的規(guī)則對測試代碼進行分析，并報告出它們發(fā)現(xiàn)的所有問題。這是否意味著工具報出來的每一個問題都需要修復(fù)?非也。這個問題最好的解答者是設(shè)計和開發(fā)這個軟件的人。他們最熟悉代碼，更重要的是，他們了解軟件會在什么環(huán)境下部署以及會被怎樣使用。

這個知識點對于判定工具標(biāo)記出來的某段代碼到底是不是安全缺陷至關(guān)重要。隨著工作時間和經(jīng)驗的積累，你會慢慢學(xué)會怎樣讓靜態(tài)分析工具忽略非安全缺陷，使報告內(nèi)容的可執(zhí)行性更高。因此，要判定 gosec 報出來的某個問題是否需要修復(fù)，讓一名有經(jīng)驗的開發(fā)者對源碼做人工審計會是比較好的辦法。

高優(yōu)先級問題

從輸出內(nèi)容看，gosec 發(fā)現(xiàn)了 Docker CE 的一個高優(yōu)先級問題，它使用的是低版本的 TLS( 傳輸層安全(Transport Layer Security)())。無論什么時候，使用軟件和庫的最新版本都是確保它更新及時、沒有安全問題的最好的方法。

  1. [/root/gosec-demo/docker-ce/components/engine/daemon/logger/splunk/splunk.go:173] - G402 (CWE-295): TLS MinVersion too low. (Confidence: HIGH, Severity: HIGH) 
  2.     172: 
  3.   > 173:        tlsConfig := &tls.Config{} 
  4.     174: 

它還發(fā)現(xiàn)了一個弱隨機數(shù)生成器。它是不是一個安全缺陷，取決于生成的隨機數(shù)的使用方式。

  1. [/root/gosec-demo/docker-ce/components/engine/pkg/namesgenerator/names-generator.go:843] - G404 (CWE-338): Use of weak random number generator (math/rand instead of crypto/rand) (Confidence: MEDIUM, Severity: HIGH) 
  2.     842: begin: 
  3.   > 843:        name := fmt.Sprintf("%s_%s", left[rand.Intn(len(left))], right[rand.Intn(len(right))]) 
  4.     844:        if name == "boring_wozniak" /* Steve Wozniak is not boring */ { 

中優(yōu)先級問題

這個工具還發(fā)現(xiàn)了一些中優(yōu)先級問題。它標(biāo)記了一個通過與 tar 相關(guān)的解壓炸彈這種方式實現(xiàn)的潛在的 DoS 威脅，這種方式可能會被惡意的攻擊者利用。

  1. [/root/gosec-demo/docker-ce/components/engine/pkg/archive/copy.go:357] - G110 (CWE-409): Potential DoS vulnerability via decompression bomb (Confidence: MEDIUM, Severity: MEDIUM) 
  2.     356: 
  3.   > 357:                        if _, err = io.Copy(rebasedTar, srcTar); err != nil { 
  4.     358:                                w.CloseWithError(err) 

它還發(fā)現(xiàn)了一個通過變量訪問文件的問題。如果惡意使用者能訪問這個變量，那么他們就可以改變變量的值去讀其他文件。

  1. [/root/gosec-demo/docker-ce/components/cli/cli/context/tlsdata.go:80] - G304 (CWE-22): Potential file inclusion via variable (Confidence: HIGH, Severity: MEDIUM) 
  2.     79:         if caPath != "" { 
  3.   > 80:                 if ca, err = ioutil.ReadFile(caPath); err != nil { 
  4.     81:                         return nil, err 

文件和目錄通常是操作系統(tǒng)安全的最基礎(chǔ)的元素。這里，gosec 報出了一個可能需要你檢查目錄的權(quán)限是否安全的問題。

  1. [/root/gosec-demo/docker-ce/components/engine/contrib/apparmor/main.go:41] - G301 (CWE-276): Expect directory permissions to be 0750 or less (Confidence: HIGH, Severity: MEDIUM) 
  2.     40:         // make sure /etc/apparmor.d exists 
  3.   > 41:         if err := os.MkdirAll(path.Dir(apparmorProfilePath), 0755); err != nil { 
  4.     42:                 log.Fatal(err) 

你經(jīng)常需要在源碼中啟動命令行工具。Go 使用內(nèi)建的 exec 庫來實現(xiàn)。仔細(xì)地分析用來調(diào)用這些工具的變量，就能發(fā)現(xiàn)安全缺陷。

  1. [/root/gosec-demo/docker-ce/components/engine/testutil/fakestorage/fixtures.go:59] - G204 (CWE-78): Subprocess launched with variable (Confidence: HIGH, Severity: MEDIUM) 
  2.     58: 
  3.   > 59:              cmd := exec.Command(goCmd, "build", "-o", filepath.Join(tmp, "httpserver"), "github.com/docker/docker/contrib/httpserver") 
  4.     60:                 cmd.Env = append(os.Environ(), []string{ 

低優(yōu)先級問題

在這個輸出中，gosec 報出了一個 unsafe 調(diào)用相關(guān)的低優(yōu)先級問題，這個調(diào)用會繞開 Go 提供的內(nèi)存保護。再仔細(xì)分析下你調(diào)用 unsafe 的方式，看看是否有被別人利用的可能性。

  1. [/root/gosec-demo/docker-ce/components/engine/pkg/archive/changes_linux.go:264] - G103 (CWE-242): Use of unsafe calls should be audited (Confidence: HIGH, Severity: LOW) 
  2.     263:        for len(buf) > 0 { 
  3.   > 264:                dirent := (*unix.Dirent)(unsafe.Pointer(&buf[0])) 
  4.     265:                bufbuf = buf[dirent.Reclen:] 
  5. [/root/gosec-demo/docker-ce/components/engine/pkg/devicemapper/devmapper_wrapper.go:88] - G103 (CWE-242): Use of unsafe calls should be audited (Confidence: HIGH, Severity: LOW) 
  6.     87: func free(p *C.char) { 
  7.   > 88:         C.free(unsafe.Pointer(p)) 
  8.     89: } 

它還標(biāo)記了源碼中未處理的錯誤。源碼中出現(xiàn)的錯誤你都應(yīng)該處理。

  1. [/root/gosec-demo/docker-ce/components/cli/cli/command/image/build/context.go:172] - G104 (CWE-703): Errors unhandled. (Confidence: HIGH, Severity: LOW) 
  2.     171:                err := tar.Close() 
  3.   > 172:                os.RemoveAll(dockerfileDir) 
  4.     173:                return err 

自定義 gosec 掃描

使用 gosec 的默認(rèn)選項會帶來很多的問題。然而，經(jīng)過人工審計，隨著時間推移你會掌握哪些問題是不需要標(biāo)記的。你可以自己指定排除和包含哪些測試。

我上面提到過，gosec 是基于一系列的規(guī)則從 Go 源碼中查找問題的。下面是它使用的完整的 規(guī)則 列表：

  • G101：查找硬編碼憑證
  • G102：綁定到所有接口
  • G103：審計 unsafe 塊的使用
  • G104：審計未檢查的錯誤
  • G106：審計 ssh.InsecureIgnoreHostKey 的使用
  • G107: 提供給 HTTP 請求的 url 作為污點輸入
  • G108: /debug/pprof 上自動暴露的剖析端點
  • G109: strconv.Atoi 轉(zhuǎn)換到 int16 或 int32 時潛在的整數(shù)溢出
  • G110: 潛在的通過解壓炸彈實現(xiàn)的 DoS
  • G201：SQL 查詢構(gòu)造使用格式字符串
  • G202：SQL 查詢構(gòu)造使用字符串連接
  • G203：在 HTML 模板中使用未轉(zhuǎn)義的數(shù)據(jù)
  • G204：審計命令執(zhí)行情況
  • G301：創(chuàng)建目錄時文件權(quán)限分配不合理
  • G302：使用 chmod 時文件權(quán)限分配不合理
  • G303：使用可預(yù)測的路徑創(chuàng)建臨時文件
  • G304：通過污點輸入提供的文件路徑
  • G305：提取 zip/tar 文檔時遍歷文件
  • G306: 寫到新文件時文件權(quán)限分配不合理
  • G307: 把返回錯誤的函數(shù)放到 defer 內(nèi)
  • G401：檢測 DES、RC4、MD5 或 SHA1 的使用
  • G402：查找錯誤的 TLS 連接設(shè)置
  • G403：確保最小 RSA 密鑰長度為 2048 位
  • G404：不安全的隨機數(shù)源(rand)
  • G501：導(dǎo)入黑名單列表：crypto/md5
  • G502：導(dǎo)入黑名單列表：crypto/des
  • G503：導(dǎo)入黑名單列表：crypto/rc4
  • G504：導(dǎo)入黑名單列表：net/http/cgi
  • G505：導(dǎo)入黑名單列表：crypto/sha1
  • G601: 在 range 語句中使用隱式的元素別名

排除指定的測試

你可以自定義 gosec 來避免對已知為安全的問題進行掃描和報告。你可以使用 -exclude 選項和上面的規(guī)則編號來忽略指定的問題。

例如，如果你不想讓 gosec 檢查源碼中硬編碼憑證相關(guān)的未處理的錯誤，那么你可以運行下面的命令來忽略這些錯誤：

  1. $ gosec -exclude=G104 ./... 
  2. $ gosec -exclude=G104,G101 ./... 

有時候你知道某段代碼是安全的，但是 gosec 還是會報出問題。然而，你又不想完全排除掉整個檢查，因為你想讓 gosec 檢查新增的代碼。通過在你已知為安全的代碼塊添加 #nosec 標(biāo)記可以避免 gosec 掃描。這樣 gosec 會繼續(xù)掃描新增代碼，而忽略掉 #nosec 標(biāo)記的代碼塊。

運行指定的檢查

另一方面，如果你只想檢查指定的問題，你可以通過 -include 選項和規(guī)則編號來告訴 gosec 運行哪些檢查：

  1. $ gosec -include=G201,G202 ./... 

掃描測試文件

Go 語言自帶對測試的支持，通過單元測試來檢驗一個元素是否符合預(yù)期。在默認(rèn)模式下，gosec 會忽略測試文件，你可以使用 -tests 選項把它們包含進來：

  1. gosec -tests ./... 

修改輸出的格式

找出問題只是它的一半功能;另一半功能是把它檢查到的問題以用戶友好同時又方便工具處理的方式報告出來。幸運的是，gosec 可以用不同的方式輸出。例如，如果你想看 JSON 格式的報告，那么就使用 -fmt 選項指定 JSON 格式并把結(jié)果保存到 results.json 文件中：

  1. $ gosec -fmt=json -out=results.json ./... 
  2. $ ls -l results.json 
  3. -rw-r--r--. 1 root root 748098 Aug 20 05:06 results.json 
  4. $ 
  5.          { 
  6.              "severity": "LOW", 
  7.              "confidence": "HIGH", 
  8.              "cwe": { 
  9.                  "ID": "242", 
  10.                  "URL": "https://cwe.mitre.org/data/definitions/242.html" 
  11.              }, 
  12.              "rule_id": "G103", 
  13.              "details": "Use of unsafe calls should be audited", 
  14.              "file": "/root/gosec-demo/docker-ce/components/engine/daemon/graphdriver/graphtest/graphtest_unix.go", 
  15.              "code": "304: \t// Cast to []byte\n305: \theader := *(*reflect.SliceHeader)(unsafe.Pointer(\u0026buf))\n306: \theader.      Len *= 8\n", 
  16.              "line": "305", 
  17.              "column": "36" 
  18.          }, 

用 gosec 檢查容易被發(fā)現(xiàn)的問題

靜態(tài)檢查工具不能完全代替人工代碼審計。然而，當(dāng)代碼量變大、有眾多開發(fā)者時，這樣的工具往往有助于以可重復(fù)的方式找出容易被發(fā)現(xiàn)的問題。它對于幫助新開發(fā)者識別和在編碼時避免引入這些安全缺陷很有用。

 

責(zé)任編輯：趙寧寧 來源： Linux中國
gosecGo代碼安全
相關(guān)推薦

2010-05-04 17:43:50

Unix系統(tǒng)

2012-11-20 10:47:16

2023-03-09 12:30:55

2019-04-04 11:55:59

2022-06-08 08:23:18

低代碼無代碼網(wǎng)絡(luò)安全

2009-05-30 09:36:18

2020-10-30 08:50:25

2010-04-02 13:53:47

2012-10-09 16:47:19

2016-03-01 11:44:57

2009-07-07 13:29:33

Servlet和JSP

2013-03-12 09:22:32

2013-01-07 10:34:23

2022-02-18 13:54:56

安全開發(fā)漏洞

2012-12-04 16:57:49

2012-06-15 11:18:07

云安全云計算

2021-09-24 10:11:36

Chrome安全漏洞谷歌

2011-04-07 10:47:35

2022-03-18 13:10:34

低代碼漏洞

2014-07-28 10:23:38

點贊
收藏

51CTO技術(shù)棧公眾號

主站蜘蛛池模板： 少妇特黄a一区二区三区88av | 日日夜夜精品视频 | 中文字幕乱码一区二区三区 | 日韩成人av在线播放 | 欧美激情国产精品 | 妹子干综合| chinese中国真实乱对白 | 亚洲国产精品久久久 | 一区二区在线看 | 成人毛片网站 | 日本aaaa| 国产精品1区 | 久久久成人一区二区免费影院 | 婷婷亚洲综合 | 精品一级毛片 | 国产极品粉嫩美女呻吟在线看人 | 亚洲日韩欧美一区二区在线 | 亚洲日本一区二区 | 亚洲一区二区三区高清 | 精品视频99| 国产精品五区 | 国产成人久久精品 | 高清色 | 精品国产91乱码一区二区三区 | 黄网在线观看 | 欧美一级高清片 | 91天堂 | 久久久美女 | 欧美日韩精品久久久免费观看 | 在线视频一区二区 | 国产精品一区二 | 日韩亚洲欧美一区 | 99精品欧美一区二区三区 | 麻豆视频在线免费观看 | 538在线精品 | 色婷婷综合网 | 亚洲视频欧美视频 | 99久久久国产精品 | 免费在线性爱视频 | 免费精品视频一区 | 特级黄一级播放 |