分享每一天-谷歌本发布了开源漏洞扫描器 OSV-Scanner

GoLang 1659 0 创建时间：2022-12-19 13:53:54

漏洞扫描 OSV-Scanner

#### OSV-Scanner漏洞扫描器

![](https://www.seedblog.cn/uploads/article/2022-12-19/MqDVa5WLlDnAKRZsSV21FVkZUwK7I4iOzqkJpiEy.png)

使用 OSV 扫描程序查找影响项目依赖项的现有漏洞。

OSV-Scanner 为 OSV 数据库提供了一个官方支持的前端，该前端将项目的依赖项列表与影响它们的漏洞连接起来。由于 OSV.dev 数据库是开源和分布式的，因此与闭源咨询数据库和扫描程序相比，它具有以下几个优点：

每个公告都来自开放和权威的来源（例如 RustSec 咨询数据库)
任何人都可以对公告提出改进建议，从而形成非常高质量的数据库
OSV 格式以机器可读的格式明确存储有关受影响版本的信息，该格式精确映射到开发人员的包列表中
上述所有结果都会导致更少、更可操作的漏洞通知，从而减少解决它们所需的时间。

#### 安装
您可以从我们的版本页面下载适用于 Linux、macOS 和 Windows 的 SLSA3 兼容二进制文件。
github.com/google/osv-scanner/releases

包管理器
如果您是Windows Scoop用户，则可以从官方存储桶安装osv扫描程序：

```go
scoop install osv-scanner
```

#### 从源代码安装
或者，您可以通过运行以下命令从源代码安装它：

```go
 go install github.com/google/osv-scanner/cmd/osv-scanner@v1
```
这需要安装 Go 1.18+。

#### 用法
OSV 扫描程序收集项目中使用的依赖项和版本列表，然后通过 OSV.dev API 将此列表与 OSV 数据库进行匹配。要构建依赖项列表，您可以将 OSV-Scanner 指向项目目录，或手动传入各个清单文件的路径。

- 锁定文件
- SBOM
- 最新提交哈希的 git 目录

用于构建要与 OSV 漏洞匹配的依赖项列表。

可以配置为使用 / 标志递归遍历子目录。--recursive-r

搜索 git 提交哈希旨在处理使用 git 子模块或签出依赖项的类似机制 作为真正的 git 存储库。

例
```go
osv-scanner -r /path/to/your/dir
```

更多内容见GitHub：
github.com/google/osv-scanner