ChopChop

ChopChop es una herramienta de línea de comandos para pruebas dinámicas de seguridad de aplicaciones web, inicialmente escrita por el Michelin CERT.

Su objetivo es escanear varios puntos finales e identificar la exposición de servicios/archivos/carpetas a través de la raíz web. Las verificaciones/firmas se declaran en un archivo de configuración (por defecto: chopchop.yml), totalmente configurable, y especialmente por los desarrolladores.

«Chop chop» es una frase de origen cantonés. «Chop chop» significa «date prisa» y sugiere que algo debe hacerse ahora y sin demora.

Tabla de Contenidos

• Compilación
• Uso
  • Banderas disponibles
  • Uso avanzado
• Crear una nueva verificación
• Bibliotecas externas
• Charlas
• Licencia
• Autores

Compilación

Intentamos que el proceso de compilación sea sencillo y, con suerte, debería ser tan fácil como:

$ go mod download
$ go build .

Debería haber un binario gochopchop resultante en la carpeta.

Usando Docker

¡Gracias a Github Container Registry, podemos proporcionarle algunas imágenes Docker recién compiladas!

docker run ghcr.io/michelin/gochopchop scan https://foobar.com -v debug

Pero si lo prefieres, también puedes compilarlo localmente, mira a continuación:

Compilación local

docker build -t gochopchop .

Uso

Continuamente intentamos hacer goChopChop lo más fácil posible. Escanear un host con esta utilidad es tan simple como:

$ ./gochopchop scan https://foobar.com

Usando Docker

docker run gochopchop scan https://foobar.com

Archivo de configuración personalizado

docker run -v ./:/app chopchop scan -c /app/chopchop.yml https://foobar.com

¿Qué sigue?

La reescritura en Golang tuvo lugar hace un par de meses, pero aún queda mucho por hacer. Aquí hay algunas características que planeamos integrar: [x] Hilos para mejor rendimiento [x] Capacidad de especificar el número de hilos concurrentes [x] Colores y mejor formato [x] Capacidad de filtrar verificaciones/firmas a buscar [x] Pruebas simuladas y unitarias [x] CI de Github ¡Y mucho más!

Pruebas

Para probar rápida y exhaustivamente chopchop, proporcionamos un servidor web en tests/server.go. Para probarlo, ejecute go run tests/server.go y luego ejecute chopchop con el siguiente comando ./gochopchop scan http://localhost:8000 --verbosity Debug. ChopChop debería imprimir "no se encontraron vulnerabilidades".

También hay pruebas unitarias que puede lanzar con go test -v ./.... Estas pruebas están integradas en el flujo de trabajo de CI de GitHub.

Banderas disponibles

Puede encontrar las banderas disponibles para el comando scan:

Uso avanzado

Aquí hay una lista de usos avanzados que podrían interesarle. Nota: Se pueden usar redireccionadores como > para post-procesamiento.

• Capacidad de escanear y deshabilitar la verificación SSL

$ ./gochopchop scan https://foobar.com --insecure

• Capacidad de escanear con un archivo de configuración personalizado (incluyendo plugins personalizados)

$ ./gochopchop scan https://foobar.com --insecure --signature test_config.yml

• Capacidad de listar todos los plugins o por severidad: plugins o plugins --severity High

$ ./gochopchop plugins --severity High

• Capacidad de especificar el número de hilos concurrentes: --threads 4 para 4 trabajadores

$ ./gochopchop plugins --threads 4

• Capacidad de bloquear el pipeline de CI por nivel de severidad (igual o superior a la severidad especificada): --max-severity Medium

$ ./gochopchop scan https://foobar.com --max-severity Medium

• Capacidad de especificar firmas específicas a verificar

./gochopchop scan https://foobar.com --timeout 1 --verbosity --export=csv,json --export-filename boo --plugin-filters=Git,Zimbra,Jenkins

• Capacidad de listar todos los plugins

$ ./gochopchop plugins

• Listar plugins de severidad Alta

$ ./gochopchop plugins --severity High

• Establecer una lista de URLs ubicadas en un archivo

$ ./gochopchop scan --url-file url_file.txt

• Exportar resultados de GoChopChop en formato CSV y JSON

$ ./gochopchop scan https://foobar.com  --export=csv,json --export-filename results

Crear una nueva verificación

Escribir una nueva verificación es tan simple como:

  - endpoint: "/.git/config"
    checks:
      - name: Git exposed
        match:
          - "[branch"
        remediation: Do not deploy .git folder on production servers
        description: Verifies that the GIT repository is accessible from the site
        severity: "High"

Un endpoint (ej. /.git/config) se asigna a múltiples verificaciones, lo que evita enviar X peticiones para X verificaciones. Se pueden realizar múltiples verificaciones a través de una sola petición HTTP. Cada verificación necesita estos campos:

Bibliotecas externas

Consulte el archivo third-party.txt para obtener más información.

Charlas

• PyCon FR 2019 (La herramienta fue desarrollada inicialmente en Python) - https://docs.google.com/presentation/d/1uVXGUpt7tC7zQ1HWegoBbEg2LHamABIqfDfiD9MWsD8/edit
• DEFCON AppSec Village 2020 "Turning offsec mindset to developer's toolset" - https://drive.google.com/file/d/15P8eSarIohwCVW-tR3FN78KJPGbpAtR1/view

Licencia

ChopChop se ha publicado bajo la Licencia Apache 2.0. Consulte el archivo LICENSE para obtener más información.

Autores

• Paul A.
• David R. (Para la versión en Python)
• Stanislas M. (Para la versión en Golang)