『Java安全』tabby代码审计工具Windows环境搭建

前言

wh1t3p1g/tabby

tabby是wh1t3p1g师傅编写的针对Java语言的静态代码分析工具

Windows环境搭建

Neo4j环境

见wh1t3p1g师傅的环境配置教程

tabby/wiki/Neo4j环境配置

tabby分析并保存数据

RELEASE版本的jar包是wh1t3p1g师傅在mac环境编译的（目前最新v1.1.0-RELEASE），在windows使用可能会报错，需要重新编译或者是idea直接运行。

首先pull tabby-master

然后用idea导入，此时idea已经识别出Gradle、并且会自动下载诸如springboot的依赖

等全部下载完成，能成功运行tabby/App.java显示help就证明可以使用了

分析jdk/jar包见wh1t3p1g师傅的指北

tabby/wiki/Tabby食用指北

这里我以分析8u181为例：

设置运行配置、指定jdk，如图修改即可


依次运行即可，最后save用了半小时、峰值内存大概用了13.5G

Neo4j查询

示例查询以get开头的无参方法、不超过两次调用、到readObject的链子

match path=(m1:Method)-[:CALL*..2]->(m2:Method {NAME:"readObject"}) where m1.NAME =~ "get.*" and m1.PARAMETER_SIZE=0 return path

完

欢迎关注我的CSDN博客 ：@Ho1aAs
版权属于：Ho1aAs
本文链接：https://blog.csdn.net/Xxy605/article/details/123663537
版权声明：本文为原创，转载时须注明出处及本声明