Stacs：一款功能強大的靜態(tài)令牌和憑證掃描安全工具

關于Stacs

Stacs一款功能強大的靜態(tài)令牌和憑證掃描工具，本質(zhì)上來說，Stacs是一個基于YARA的靜態(tài)憑證掃描工具，該工具支持二進制文件格式、嵌套文檔分析、可組合規(guī)則集和忽略列表以及SARIF報告。

當前版本的Stacs支持tarballs、gzip、bzips、zips、7z、iso、rpm和xz文件的遞歸解包。由于Stacs處理的是它所檢測到的文件類型，而不是文件名，因此該工具將自動支持基于這些類型的適當文件格式，例如Docker鏡像、Android APK和Java JAR文件。

Stacs的適用人群

Stacs可以為任何需要涉及到二進制文件的安全團隊提供幫助，因為Stacs可以為開發(fā)人員提供自動檢查目標代碼版本中是否意外包含靜態(tài)憑據(jù)和敏感數(shù)據(jù)的能力。

然而，這并不意味著Stacs不適用于Saas應用層序、企業(yè)軟件或者產(chǎn)品源代碼。比如說，我們可以使用Stacs在上傳到公共或私有容器的Docker鏡像中尋找靜態(tài)憑證。除此之外，我們還可以通過Stacs搜索意外編譯到可執(zhí)行文件、移動設備軟件包和“企業(yè)文檔”(如Java應用程序服務器使用的文檔)中的憑據(jù)。

工具使用

使用Stacs最簡單的方法就是通過Docker Hub中發(fā)布的Docker鏡像了。不過，Stacs也可以直接通過Python的PyPI來安裝，或者你也可以直接使用下列命令將該項目源碼克隆至本地：

git clone https://github.com/stacscan/stacs.git Docker使用

使用發(fā)布的Docker鏡像，Stacs將該能夠直接幫助我們完成組件掃描。我們可以直接在掃描容器中加載大量文件，并交給Stacs的Docker鏡像進行掃描。

比如說，我們可以使用下列命令直接掃描當前目錄中的所有內(nèi)容：

docker run \   --rm \   --mount type=bind,source=$(pwd),target=/mnt/stacs/input \   stacscan/stacs:latest

默認配置下，Stacs會直接將所有的發(fā)現(xiàn)以SARIF格式直接輸出至STDOUT，并確保一切數(shù)據(jù)按順序排列，所有的信息都會被記錄并發(fā)送至STDERR。

PyPI安裝

我們也可以通過Python的PyPi來安裝Stacs。此時我們可以通過“stacs”命令直接在本地開發(fā)環(huán)境中執(zhí)行項目掃描。

我們可以使用下列命令直接通過PyPI安裝Stacs：

pip install stacs 微軟SARIF報告查看

當前版本的Stacs數(shù)據(jù)輸出格式僅支持SARIF v2.1.0，下圖顯示的是我們利用Stacs在一個Docker鏡像中發(fā)現(xiàn)的結果：

項目地址

Stacs：【GitHub傳送門】

網(wǎng)頁標題：Stacs：一款功能強大的靜態(tài)令牌和憑證掃描安全工具
本文鏈接：http://www.muchs.cn/news7/204407.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供微信小程序、建站公司、微信公眾號、自適應網(wǎng)站、網(wǎng)站營銷、手機網(wǎng)站建設

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)