Java 代码审计工具—铲子 SAST

chanziSAST

于 2024-10-06 15:15:01 发布

阅读量251

点赞数 2

文章标签： java 开发语言经验分享

本文链接：https://blog.csdn.net/chanziSAST/article/details/142727458

版权

创建任务

创建任务可以选择扫描本地代码或远程git仓库
扫描本地代码

如果选择扫描本地代码，直接选择代码所在的文件夹即可
反编译功能只能在扫描本地代码时可用，用户需根据需要选择需要反编译的jar或class文件
开启反编译常用于无源代码，或源代码不完整但是有jar包的情况，反编译后的代码会放在所选代码根目录下的一个独立文件夹，文件夹以_chanzi_decompile_dir_结尾
开启时不建议把所有依赖的jar文件全部勾选，这样会导致反编译的项目代码太过庞大，扫描时间太长或内存耗尽

扫描git仓库

如果选择扫描远程git仓库，可以填写https或ssh格式的git地址，并且选择认证方式（ssh、password、token、无认证四种方式可选）
ssh认证方式，铲子会自动到用户的.ssh目录获取认证密钥信息，进而完成代码的clone
无认证，不需要填写任何认证信息，通常用于public的git仓库,即仓库时公开的,无需认证即可clone
password认证，需要填写用户名:密码
token认证，需要填写用户名:token

打开任务

如果有多个任务时，用于打开不同的任务，查看对应任务的漏洞信息
如果同时有多个正在扫描或排队的任务，打开任务操作不会影响任务的正常运行

删除任务

删除任务用于删除任务相关的数据，包括任务基本信息、漏洞信息、代码索引、代码图数据等

清空任务

会删除所有任务的数据，请谨慎操作；这些数据默认保存在用户home目录的 ChanziTaskData 目录

任务详情

用于查看任务基本信息,任务信息以json格式在编辑器显示
格式如下: 包括任务id 任务名称代码路径 git地址及分支(仅远程git任务可见) 图数据路径代码索引路径任务状态是否打开文件数量 java文件数量任务创建时间完成时间高中低危漏洞数量总代码行数(仅包括java/jsp/yml等项目相关文件,不包括log text等) 已处理的文件数量任务显示的状态

{
  "task_id" : 1,
  "taskName" : "javaweb-vuln-master",
  "codePath" : "/Users/f/Downloads/javaweb-vuln-master",
  "gitUrl" : null,
  "branch" : null,
  "graphDbPath" : "/Users/a/ChanziTaskData/javaweb-vuln-master_neo4j_20241002095421",
  "luceneIndexPath" : "/Users/a/ChanziTaskData/javaweb-vuln-master_lucene_20241002095421",
  "status" : "complete",
  "isOpen" : true,
  "fileCount" : 108,
  "javaFileCount" : 47,
  "createTime" : "2024-10-02 09:54:21.135",
  "finishTime" : "2024-10-02 09:55:09.406",
  "highVulnCount" : 23,
  "mediumVulnCount" : 136,
  "lowVulnCount" : 0,
  "codeLineCount" : 20455,
  "processedFileCount" : 67,
  "showStatus" : "已完成"
}