关于Dependency Check
Dependency-Check 是一款软件组合分析 (SCA) 工具，可尝试检测项目依赖项中包含的公开披露的漏洞。它通过确定给定依赖项是否存在通用平台枚举 (CPE) 标识符来实现此目的。如果找到，它将生成一份链接到相关 CVE 条目的报告。
Dependency-check 有一个命令行界面、一个 Maven 插件、一个 Ant 任务和一个 Jenkins 插件。核心引擎包含一系列分析器，用于检查项目依赖项、收集有关依赖项的信息（在工具中称为证据）。然后使用证据来识别给定依赖项的通用平台枚举 (CPE) 。如果识别出 CPE，则会在报告中列出相关的通用漏洞和暴露 (CVE)条目列表。其他第三方服务和数据源（如 NPM Audit API、OSS Index、RetireJS 和 Bundler Audit）用于特定技术。
Dependency-check 使用 NIST 托管的NVD 数据源自动更新自身。'''重要提示：''' 初始下载数据可能需要十分钟或更长时间。如果您每七天至少运行一次该工具，则只需下载一个小型 JSON 文件即可使数据的本地副本保持最新。
功能介绍
Dependency-check 的工作方式是收集有关其扫描的文件的信息（使用分析器）。收集的信息称为证据；收集的证据有三种类型：供应商、产品和版本。例如，JarAnalyzer 将从 Manifest、pom.xml 和扫描的 JAR 文件中的包名称中收集信息，并且它有启发式方法将来自各种来源的信息放入一个或多个证据桶中。
在 NVD CVE 数据中每个 CVE 条目都有一个易受攻击的软件列表：
<entry id="CVE-2012-5055"> ... <vuln:vulnerable-software-list> <vuln:product>cpe:/a:vmware:springsource_spring_security:3.1.2</vuln:product> <vuln:product>cpe:/a:vmware:springsource_spring_security:2.0.4</vuln:product> <vuln:product>cpe:/a:vmware:springsource_spring_security:3.0.1</vuln:product> </vuln:vulnerable-software-list> ... </entry>
接下来，CPE 数据将被收集并存储在 Lucene 索引中. Dependency-check 然后使用收集到的证据并尝试匹配 Lucene CPE 索引中的条目。如果找到，CPEAnalyzer 将向依赖项添加标识符，然后添加到报告中。一旦识别出 CPE，相关的 CVE 条目就会添加到报告中。
工具配置
导入用于签署所有依赖检查版本的 GPG 密钥：
gpg --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 259A55407DD6C00299E6607EFFDE55BE73A2D1ED
从GitHub Release下载依赖检查命令行工具和相关的 GPG 签名文件，验证下载的加密完整性：
gpg --verify dependency-check-10.0.4-release.zip.asc
将 zip 文件解压到计算机上的某个位置，并将“bin”目录放入路径环境变量中。
工具安装和使用
Homebrew
$ brew install dependency-check
Windows
dependency-check.bat --project "My App Name" --scan "c:\java\application\lib"
*nix
dependency-check.sh --project "My App Name" --scan "/java/application/lib"
Docker使用
Linux
#!/bin/sh
DC_VERSION="latest"
DC_DIRECTORY=$HOME/OWASP-Dependency-Check
DC_PROJECT="dependency-check scan: $(pwd)"
DATA_DIRECTORY="$DC_DIRECTORY/data"
CACHE_DIRECTORY="$DC_DIRECTORY/data/cache"
if [ ! -d "$DATA_DIRECTORY" ]; then
echo "Initially creating persistent directory: $DATA_DIRECTORY"
mkdir -p "$DATA_DIRECTORY"
fi
if [ ! -d "$CACHE_DIRECTORY" ]; then
echo "Initially creating persistent directory: $CACHE_DIRECTORY"
mkdir -p "$CACHE_DIRECTORY"
fi
# Make sure we are using the latest version
docker pull owasp/dependency-check:$DC_VERSION
docker run --rm \
-e user=$USER \
-u $(id -u ${USER}):$(id -g ${USER}) \
--volume $(pwd):/src:z \
--volume "$DATA_DIRECTORY":/usr/share/dependency-check/data:z \
--volume $(pwd)/odc-reports:/report:z \
owasp/dependency-check:$DC_VERSION \
--scan /src \
--format "ALL" \
--project "$DC_PROJECT" \
--out /report
# Use suppression like this: (where /src == $pwd)
# --suppression "/src/security/dependency-check-suppression.xml"
Windows
@echo off set DC_VERSION="latest" set DC_DIRECTORY=%USERPROFILE%\OWASP-Dependency-Check SET DC_PROJECT="dependency-check scan: %CD%" set DATA_DIRECTORY="%DC_DIRECTORY%\data" set CACHE_DIRECTORY="%DC_DIRECTORY%\data\cache" IF NOT EXIST %DATA_DIRECTORY% ( echo Initially creating persistent directory: %DATA_DIRECTORY% mkdir %DATA_DIRECTORY% ) IF NOT EXIST %CACHE_DIRECTORY% ( echo Initially creating persistent directory: %CACHE_DIRECTORY% mkdir %CACHE_DIRECTORY% ) rem Make sure we are using the latest version docker pull owasp/dependency-check:%DC_VERSION% docker run --rm ^ --volume %CD%:/src ^ --volume %DATA_DIRECTORY%:/usr/share/dependency-check/data ^ --volume %CD%/odc-reports:/report ^ owasp/dependency-check:%DC_VERSION% ^ --scan /src ^ --format "ALL" ^ --project "%DC_PROJECT%" ^ --out /report rem Use suppression like this: (where /src == %CD%) rem --suppression "/src/security/dependency-check-suppression.xml"
许可证协议
本项目的开发与发布遵循Apache-2.0开源许可协议。
项目地址
Dependency Check：【传送门】
参考资料
4A评测 - 免责申明
本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。
不得将上述内容用于商业或者非法用途，否则一切后果请用户自负。
本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑或手机中彻底删除上述内容。
如果您喜欢该程序，请支持正版，购买注册，得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解！
程序来源网络，不确保不包含木马病毒等危险内容，请在确保安全的情况下或使用虚拟机使用。
侵权违规投诉邮箱：4ablog168#gmail.com（#换成@）
