PHP质量工具系列之 Owasp Dependency-Check

sujrex

已于 2024-06-13 15:01:17 修改

阅读量974

点赞数 26

分类专栏： php 文章标签： php 开发语言质量工具 DependencyCheck OWASP

于 2024-05-22 18:05:32 首次发布

本文链接：https://blog.csdn.net/made4971/article/details/139002817

版权

php 专栏收录该内容

17 篇文章 0 订阅

订阅专栏

一个实用开源程序，用于识别项目依赖项并检查是否存在任何已知的，公开披露的漏洞。目前，已支持Java、.NET、Ruby、Node.js、Python等语言编写的程序，并为C/C++构建系统（autoconf和cmake）提供了有限的支持。而且该工具还是OWASP Top 10的解决方案的一部分。

安装

将下载好的dependency-check.zip上传到linux中并解压
查看/bin/目录下dependency-check.sh
注意该工具需要先安装JAVA环境，如果是手动安装JAVA的，那么注意配置环境变量

执行

/bin/bash ./dependency-check/bin/dependency-check.sh -s ../project_name -f HTML -o ../wanaohui_admin --nvdApiKey xxxxxx --disableAssembly --disableRetireJS

命令参数介绍

-s,–scan 指定扫描目录
-o,–out 指定结果输出目录
-f,–format 输出格式为HTML 也可以选择XML等具体可–help查看
–nvdApiKey 之前申请并保存的api key
–disableAssembly 禁用扫描 .net相关配置
–disableRetireJS 禁用扫描 js相关配置

扫描完成后会在 -o 指定的目录生成dependency-check-report.html, 流缆该页面查看结果

补充

–disableAssembly
不扫描net程序，启用该选项，否则报错如下，若需要扫描.net程序，直接安装.net Framework即可
[ERROR] ----------------------------------------------------
[ERROR] .NET Assembly Analyzer could not be initialized and at least one ‘exe’ or ‘dll’ was scanned. The ‘dotnet’ executable could not be found on the path; either disable the Assembly Analyzer or add the path to dotnet core in the configuration.
[ERROR] The dotnet 6.0 core runtime or SDK is required to analyze assemblies
[ERROR] ----------------------------------------------------

–disableRetireJS
如果不扫描js项目，这个配置可以加上
若需要扫描，但是报错 Failed to initialize the RetireJS repo
打开下面链接，复制里面的内容
https://github.com/RetireJS/retire.js/blob/master/repository/jsrepository.json
直接覆盖掉 ./dependency-check/data/jsrepository.json 里面的内容即可

转载请保留出处，都看到这里了，点个赞再走吧