ChopChop

ChopChop ist ein Kommandozeilenwerkzeug für dynamische Anwendungssicherheitstests (DAST) auf Webanwendungen, das ursprünglich vom Michelin CERT entwickelt wurde.

Ziel ist es, mehrere Endpunkte zu scannen und die Offenlegung von Diensten/Dateien/Ordnern über das Webroot zu identifizieren. Prüfungen/Signaturen werden in einer Konfigurationsdatei (standardmäßig chopchop.yml) deklariert, die vollständig konfigurierbar ist – insbesondere auch von Entwicklern.

„Chop chop“ ist ein Ausdruck aus dem Kantonesischen. „Chop chop“ bedeutet „beeil dich“ und deutet an, dass etwas sofort und ohne Verzögerung erledigt werden sollte.

Inhaltsverzeichnis

• Erstellen
• Verwendung
  • Verfügbare Flaggen
  • Fortgeschrittene Nutzung
• Erstellen einer neuen Prüfung/Signatur
• Externe Bibliotheken
• Vorträge
• Lizenz
• Autoren

Erstellen

Wir haben versucht, den Build-Prozess so schmerzfrei wie möglich zu gestalten, und hoffentlich sollte es so einfach sein wie:

$ go mod download
$ go build .

Es sollte ein resultierendes Binary gochopchop im Ordner sein.

Docker verwenden

Dank Github Container Registry können wir Ihnen einige frisch erstellte Docker-Images bereitstellen!

docker run ghcr.io/michelin/gochopchop scan https://foobar.com -v debug

Wenn Sie es vorziehen, können Sie es auch lokal erstellen, siehe unten:

Lokal erstellen

docker build -t gochopchop .

Verwendung

Wir arbeiten kontinuierlich daran, goChopChop so einfach wie möglich zu gestalten. Das Scannen eines Hosts mit diesem Dienstprogramm ist so einfach wie:

$ ./gochopchop scan https://foobar.com

Docker verwenden

docker run gochopchop scan https://foobar.com

Benutzerdefinierte Konfigurationsdatei

docker run -v ./:/app chopchop scan -c /app/chopchop.yml https://foobar.com

Was als Nächstes ansteht

Die Umschreibung in Go fand vor ein paar Monaten statt, aber es gibt noch so viel zu tun. Hier sind einige Funktionen, die wir einzuplanen gedenken: [x] Threading für bessere Leistung [x] Möglichkeit, die Anzahl der gleichzeitigen Threads anzugeben [x] Farben und bessere Formatierung [x] Möglichkeit, Prüfungen/Signaturen zu filtern [x] Mocks und Unit-Tests [x] GitHub-CI Und vieles mehr!

Testen

Für schnelle End-to-End-Tests von chopchop haben wir einen Webserver in tests/server.go bereitgestellt. Um ihn auszuprobieren, führen Sie bitte go run tests/server.go aus und dann chopchop mit dem folgenden Befehl: ./gochopchop scan http://localhost:8000 --verbosity Debug. ChopChop sollte „no vulnerabilities found“ ausgeben.

Es gibt auch Unit-Tests, die Sie mit go test -v ./... starten können. Diese Tests sind in den GitHub-CI-Workflow integriert.

Verfügbare Flaggen

Sie finden die verfügbaren Flaggen für den Befehl scan:

Fortgeschrittene Nutzung

Hier ist eine Liste fortgeschrittener Nutzungsmöglichkeiten, die Sie interessieren könnten. Hinweis: Umleitungen wie > für die Nachbearbeitung können verwendet werden.

• Scannen und SSL-Verifikation deaktivieren

$ ./gochopchop scan https://foobar.com --insecure

• Scannen mit einer benutzerdefinierten Konfigurationsdatei (inklusive benutzerdefinierter Plugins)

$ ./gochopchop scan https://foobar.com --insecure --signature test_config.yml

• Alle Plugins oder nach Schweregrad auflisten : plugins oder plugins --severity High

$ ./gochopchop plugins --severity High

• Anzahl gleichzeitiger Threads angeben : --threads 4 für 4 Arbeiter

$ ./gochopchop plugins --threads 4

• CI-Pipeline nach Schweregrad blockieren (gleich oder höher als angegebener Schweregrad) : --max-severity Medium

$ ./gochopchop scan https://foobar.com --max-severity Medium

• Bestimmte zu prüfende Signaturen angeben

./gochopchop scan https://foobar.com --timeout 1 --verbosity --export=csv,json --export-filename boo --plugin-filters=Git,Zimbra,Jenkins

• Alle Plugins auflisten

$ ./gochopchop plugins

• Plugins mit hohem Schweregrad auflisten

$ ./gochopchop plugins --severity High

• Eine Liste von URLs in einer Datei festlegen

$ ./gochopchop scan --url-file url_file.txt

• GoChopChop-Ergebnisse im CSV- und JSON-Format exportieren

$ ./gochopchop scan https://foobar.com  --export=csv,json --export-filename results

Erstellen einer neuen Prüfung

Das Schreiben einer neuen Prüfung ist so einfach wie:

  - endpoint: "/.git/config"
    checks:
      - name: Git exposed
        match:
          - "[branch"
        remediation: Do not deploy .git folder on production servers
        description: Verifies that the GIT repository is accessible from the site
        severity: "High"

Ein Endpunkt (z. B. /.git/config) ist mehreren Prüfungen zugeordnet, was vermeidet, X Anfragen für X Prüfungen zu senden. Mehrere Prüfungen können mit einer einzigen HTTP-Anfrage durchgeführt werden. Jede Prüfung benötigt folgende Felder:

Externe Bibliotheken

Bitte beziehen Sie sich auf die Datei third-party.txt für weitere Informationen.

Vorträge

• PyCon FR 2019 (Das Tool wurde ursprünglich in Python entwickelt) - https://docs.google.com/presentation/d/1uVXGUpt7tC7zQ1HWegoBbEg2LHamABIqfDfiD9MWsD8/edit
• DEFCON AppSec Village 2020 „Offsec-Denkweise in das Toolkit der Entwickler umwandeln" - https://drive.google.com/file/d/15P8eSarIohwCVW-tR3FN78KJPGbpAtR1/view

Lizenz

ChopChop wurde unter der Apache-Lizenz 2.0 veröffentlicht. Bitte beziehen Sie sich auf die Datei LICENSE für weitere Informationen.

Autoren

• Paul A.
• David R. (Für die Python-Version)
• Stanislas M. (Für die Go-Version)