Startup-SBOM

बूट पर क्या चलता है, वह किससे बना है, और उस पर हमला कैसे किया जा सकता है।

प्रलेखन पढ़ें →

Startup-SBOM किसी Linux रूट फ़ाइलसिस्टम, कंटेनर या इमेज का स्थिर विश्लेषण करता है और उन तीन प्रश्नों के उत्तर देता है जो अधिकांश SBOM टूल नहीं दे पाते:

1. भेद्यता → खतरा। केवल "openssl में 14 CVE हैं" नहीं, बल्कि "एक अनधिप्रमाणित रिमोट हमलावर जो TCP/22 तक पहुँच सकता है, openssh-server (sshd, ssh.service, बूट पर सक्षम, root के रूप में चलता है) में CVE-2024-6387 का शोषण करके root के रूप में कोड निष्पादित कर सकता है — EPSS 0.94, ज्ञात शोषित। समाधान: 1:9.2p1-2+deb12u3 पर अपग्रेड करें।" प्रत्येक निष्कर्ष को संदर्भ में रखा जाता है: क्या यह बूट पर पहुँच योग्य है, किस सेवा के माध्यम से, किस बाइनरी से जुड़ा है, इसे क्या ट्रिगर करता है (बूट, सॉकेट, टाइमर, cron, D-Bus, udev डिवाइस इवेंट, setuid बाइनरी, कर्नेल) और उस ट्रिगर को कौन चला सकता है, किस उपयोगकर्ता के रूप में, नेटवर्क-उजागर, किस systemd हार्डनिंग से शमित, MITRE ATT&CK पर मैप किया गया, CISA SSVC निर्णय (Track / Track* / Attend / Act) के साथ।
2. श्रृंखलाबद्ध हमले। एक विशेषाधिकार-अवस्था हमला ग्राफ़ (remote → local:<user> → root → container escape → persistence) जो भेद्यताओं और गलत कॉन्फ़िगरेशन (setuid/capability बाइनरी, विशेषाधिकार प्राप्त कंटेनर, माउंट किया गया Docker सॉकेट, कर्नेल CVE, लिखने योग्य यूनिट) से बनाया गया है, हार्डनिंग द्वारा छाँटा गया और संभावना × प्रभाव के आधार पर क्रमबद्ध किया गया।
3. आपूर्ति-श्रृंखला प्रभाव-क्षेत्र। एक विक्रेता → स्रोत पैकेज → बाइनरी पैकेज → फ़ाइल → सेवा ग्राफ़ जो वास्तविक कोड-लोडिंग किनारों (ELF DT_NEEDED, .note.dlopen, ld.so.preload, इंटरप्रेटर) से बनाया गया है। यह xz → liblzma → libsystemd → sshd वर्ग की समस्या को पकड़ता है, जिसे केवल पैकेज निर्भरताएँ चूक जाती हैं। यह उद्गम जोखिमों को भी चिह्नित करता है: तृतीय-पक्ष रिपॉज़िटरी, अहस्ताक्षरित या स्थानीय रूप से निर्मित पैकेज, अप्रबंधित बाइनरी, संशोधित फ़ाइलें और EOL वितरण।

यह डिज़ाइन से केवल-पठन है: लक्ष्य में कुछ भी माउंट, निकाला या संशोधित नहीं किया जाता, सिमलिंक कभी भी विश्लेषित रूट से बाहर नहीं निकल सकते, और डिफ़ॉल्ट स्थिर मोड में लक्ष्य में कुछ भी निष्पादित नहीं होता। ऑप्ट-इन chroot मोड (--mode chroot) स्थिर परिणामों की पुष्टि के लिए लक्ष्य के कुछ अपने टूल चलाता है, केवल एक अनविशेषाधिकारित, केवल-पठन, नेटवर्क-रहित bubblewrap सैंडबॉक्स के अंदर।

इंस्टॉल

uv tool install startup-sbom        # or: pipx install startup-sbom
uvx startup-sbom --help             # run without installing
docker run --rm ghcr.io/morpheuslord/startup-sbom --help

कोर स्कैनर में कोई भारी निर्भरताएँ नहीं हैं; वैकल्पिक सुविधाएँ एक्स्ट्रा के रूप में उपलब्ध हैं:

एक्स्ट्रा	जोड़ता है
startup-sbom[tui]	इंटरैक्टिव टर्मिनल UI (startup-sbom tui)
startup-sbom[pdf]	PDF रिपोर्ट (-f pdf, Typst; डिफ़ॉल्ट रूप से PDF/A-3u + PDF/UA-1)
startup-sbom[ai]	कई LLM प्रदाताओं में AI विश्लेषण, DuckDuckGo खोज, MCP सर्वर
startup-sbom[agents-server]	A2A और ACP एजेंट सर्वर
startup-sbom[all]	ऊपर दी गई सभी सुविधाएँ

uv tool install "startup-sbom[all]"

अन्य उपकरणों के साथ एकीकरण

• Nuclei: -as फ़्लैग के साथ स्कैन किए गए सभी सबडोमेन को Nuclei में पाइप किया जा सकता है।
• Subfinder: किसी भी सबडोमेन को Subfinder में पाइप किया जा सकता है ताकि उसके सबडोमेन खोजे जा सकें।
• HTTPX: सभी सक्रिय सबडोमेन को HTTPX में पाइप किया जा सकता है ताकि उनके HTTP सर्वर का पता लगाया जा सके।
• Notify: -n फ़्लैग के साथ स्कैन परिणामों को Notify में पाइप किया जा सकता है।

अतिरिक्त जानकारी

• अस्वीकरण: यह उपकरण केवल शैक्षिक और नैतिक उद्देश्यों के लिए है। किसी भी अवैध गतिविधि के लिए इस उपकरण का उपयोग न करें।
• योगदान: योगदान का स्वागत है! कृपया एक pull request सबमिट करें या समस्याएँ रिपोर्ट करें।
• लाइसेंस: यह उपकरण MIT लाइसेंस के तहत लाइसेंस प्राप्त है।

आभार

• ProjectDiscovery को उनके अद्भुत open-source उपकरणों के लिए धन्यवाद।
• Nuclei को उनके शक्तिशाली टेम्पलेट इंजन के लिए धन्यवाद।
• Subfinder को उनके सबडोमेन एन्यूमरेशन उपकरण के लिए धन्यवाद।
• HTTPX को उनके HTTP टूलकिट के लिए धन्यवाद।
• Notify को उनके नोटिफिकेशन उपकरण के लिए धन्यवाद।

संपर्क

• लेखक: Your Name
• ईमेल: [email protected]
• वेबसाइट: https://yourwebsite.com

स्टार इतिहास

git clone https://github.com/morpheuslord/Startup-SBOM && cd Startup-SBOM
uv sync
uv run startup-sbom --help

Linux, macOS या Windows पर Python ≥ 3.11। host: मोड और लाइव कंटेनर अधिग्रहण को छोड़कर सब कुछ शुद्ध Python है और होस्ट-OS से स्वतंत्र है।

उपयोग

# A mounted disk or extracted rootfs
startup-sbom scan dir:/mnt/target_root -f html -f cyclonedx -o out/

# A running or stopped container (docker / podman / nerdctl)
startup-sbom scan docker:web -f json -f sarif

# Images without a container engine
startup-sbom scan docker-archive:./image.tar      # docker/podman save
startup-sbom scan oci-dir:./layout                 # OCI image layout
startup-sbom scan tar:./rootfs.tar.zst             # docker export / rootfs tarball

# The machine you are on (Linux)
sudo startup-sbom scan host: -f markdown

# CI gate: fail when anything warrants immediate action
startup-sbom scan oci-archive:img.tar -f sarif --fail-on act

# Confirm with the target's own tools in a sandbox (needs bubblewrap), keep a journal
startup-sbom scan dir:/mnt/target_root --mode chroot --journal scan.jsonl -f html