谷歌出品:帮助发现Go项目漏洞的工具

Go语言精选

共 1109字,需浏览 3分钟

 ·

2021-08-05 06:59

阅读本文大概需要 3 分钟。

大家好,我是 polarisxu。

发现了一个好工具,推荐给大家!

https://deps.dev/,这是 Google 新出的一个实验性工具,命名为:Open Source Insights,它能让你更了解你的项目依赖。

通过这个网站,你可以查询任意开源项目的依赖情况,还包括依赖的依赖,可以看到完整的依赖关系图,而且可以看到它们的许可证。

目前该工具支持 Go Modules、NPM packages、Java 的Mavan 和 Rust 的 Cargo,将来可能还会支持 .Net 的 NuGet 和 Python 的 PyPI。

以 Go 语言中文网的源码为例,看看使用情况。

输入包名:github.com/studygolang/studygolang,https://deps.dev/go/github.com%2Fstudygolang%2Fstudygolang 结果如下:

发现有几处安全问题,查看详细信息,发现有几个库有漏洞:

  • golang.org/x/crypto
  • golang.org/x/text
  • github.com/dgrijalva/jwt-go
  • github.com/labstack/echo/v4
  • github.com/tidwall/gjson

拿 github.com/tidwall/gjson 看看:

gjson 1.6.3 及以下版本存在这个漏洞,具体信息来源:https://github.com/tidwall/gjson/issues/192,由于不正确的边界检查,恶意构造的 JSON 对象可能会引起越界 panic。如果解析用户输入,这可能被用作分布式拒绝服务攻击。

根据这个提示应该升级我们的依赖,修复漏洞。

在 Dependencies 标签可以看到项目依赖,支持表格方式和图表方式查看依赖。在 Dependents 标签可以看到哪些项目依赖了当前项目。

赶紧看看你在使用的开源项目有无安全漏洞,会不会有安全隐患。比如 Gin 项目就有安全漏洞:




往期推荐


福利

我为大家整理了一份从入门到进阶的Go学习资料礼包,包含学习建议:入门看什么,进阶看什么。关注公众号 「polarisxu」,回复 ebook 获取;还可以回复「进群」,和数万 Gopher 交流学习。

浏览 14
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报
评论
图片
表情
推荐
点赞
评论
收藏
分享

手机扫一扫分享

分享
举报