Dependency check配置Mysql数据库存储nvd数据

 

使用过Dependency check的同学，一定会遇到这个痛点—— 每次执行依赖扫描时，由于网络问题会导致NVD下载种子数据的过程中的种种失败，不仅浪费了大量时间，还会因为下载文件的不完整性直接导致依赖检测的失败。本文主要解决这个痛点，通过Mysql来存储NVD数据来保障下载NVD数据的稳定性！这里假设读者对dependency check有使用经验，如果大家不熟悉dependency check可以参考以下两篇文章

代码依赖包安全漏洞检测神器 —— Dependency Check

Dependency Check的实战应用

Mirroring NVD

通常的解决方案就是:通过Mirroring NVD 的形式（这里不做重点讨论），简单的说就是：

1. 把NVD相关文件下载到本地服务器（通过NIST Data Mirror即可，详情请参考：https://github.com/stevespringett/nist-data-mirror/），然后创建一个http sever来访问这些文件（可以直接使用docker镜像）。

2. 然后定期更新本地服务器中的nvd文件

3. 客户端执行Dependencycheck 时， 设置如下两个参数即可：

--cveUrlModified http://你的本地服务器:30006/nvdcve-1.1-modified.json.gz

--cveUrlBase http://你的本地服务器:30006/nvdcve-1.1-modified.json.gz

Mysql 存储nvd 数据

接下来我们就讲解如何配置数据库来存储nvd 数据，我们引入官网的一句话来证明其必要性！ “Some organizations may want to use a more robust centralized database.”

目前支持的数据库包括：h2、mysql、oracle、sql server、postgresQL。这里我们以mysql作为实例讲解！

成功配置仅需要如下三步：

首先，初始化数据库，执行链接中的脚本即可

https://github.com/jeremylong/DependencyCheck/blob/main/core/src/main/resources/data/initialize_mysql.sql

如果大家需要其他数据库的初始化脚本，可以到链接中的上级目录下载即可：

https://github.com/jeremylong/DependencyCheck/tree/main/core/src/main/resources/data

脚本执行成功后，会创建db、表、一些存储过程和用户dcuser，如下图所示：

此时，vulnerability表中的数据都是空的。

然后，非常重要！非常重要！非常重要！重要的事情说三遍，此处浪费了我半天的时间去发现问题！

一定要把mysql 数据库的驱动包(以mysql-connector-java-8.0.28.jar为例)拷贝到dependency-check-7.1.0-release\dependency-check\lib的目录中。

最后，运行dependency-check，命令如下：

dependency-check.bat --scan D:\dependency\jar_check --format HTML --dbDriverName com.mysql.cj.jdbc.Driver --connectionString jdbc:mysql://127.0.0.1:3306/dependencycheck --dbUser dcuser --propertyfile d:\dependency\pwd.properties

这里dbDriverName 表示数据库的dirver名称；

connectionString 表示连接数据库的字符串，执行初始化脚本后创建的数据库叫dependencycheck

dbUser 是用户名，初始化的用户名叫 dcuser

propertyfile 这个参数是表示dcuser 的密码，需要在properties文件中存储，形式是：

data.password=DC-Pass1337! 这个密码是执行初始化脚本后的默认密码

运行逻辑是，先把nvd数据信息插入到mysql的vulnerability表中，然后在进行依赖检测，如下图所示:

自此数据库配置完成，但这仍然不是最优的方案，客户端执行脚本后，仍然需要更新nvd数据到数据库中，虽然稳定性会得到保障，但是依然会浪费一定时间！那么如何解决这个问题呢？我会在下一篇文章中进行分享，请持续关注！