Skip to content
KitploitKITPLOIT
ツールブログ
提出
ツールブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

··フィード·お問い合わせ·プライバシー·© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
ChopChop — YAML駆動のCLIスキャナーで、Webエンドポイント上の露出したサービス、ファイル、フォルダを検出します。カスタマイズ可能なシグネチャを使用して、開発者がセキュリティチェックをCI/CDパイプラインに統合できるように設計されています。 | Kitploit
ツール/GitHubGitHub/michelin/chopchop
脆弱性スキャナー構成監査情報収集ウェブセキュリティDevSecOps
GitHubmichelin/chopchop

ChopChop

YAML駆動のCLIスキャナーで、Webエンドポイント上の露出したサービス、ファイル、フォルダを検出します。カスタマイズ可能なシグネチャを使用して、開発者がセキュリティチェックをCI/CDパイプラインに統合できるように設計されています。

リポジトリを見る
7127775年前Kitploit レビュー済み

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有

Build Status License Go Report Card

ChopChop

ChopChop は、Michelin CERT が最初に作成した、Web アプリケーション向けの動的アプリケーションセキュリティテスト（DAST）を行うコマンドラインツールです。

その目的は、複数のエンドポイントをスキャンし、Web ルートを通じて公開されているサービス/ファイル/フォルダを特定することです。 チェック/シグネチャは設定ファイル（デフォルト: chopchop.yml）に宣言され、完全に設定可能であり、特に開発者がカスタマイズできます。

"Chop chop" は広東語に由来するフレーズです。"Chop chop" は「急いで」という意味で、何かを今すぐ遅延なく行うべきであることを示唆しています。

目次

  • ビルド
  • 使い方
    • 使用可能なフラグ
  • 高度な使い方
  • 新しいチェック/シグネチャの作成
  • 外部ライブラリ
  • トーク
  • ライセンス
  • 作者

    • ビルド

    ビルドプロセスを簡単にすることを目指しており、以下のように簡単に行えるはずです:

    root@kitploit:~
    $ go mod download
$ go build .

    フォルダ内に gochopchop バイナリが生成されるはずです。

    Docker を使用する

    Github Container Registry のおかげで、新しくビルドされた Docker イメージを提供できます！

    root@kitploit:~
    docker run ghcr.io/michelin/gochopchop scan https://foobar.com -v debug

    ただし、ローカルでビルドしたい場合は以下の手順を参照してください:

    ローカルでビルド

    root@kitploit:~
    docker build -t gochopchop .

    使い方

    goChopChop を可能な限り簡単に使いやすくするよう継続的に努力しています。このツールでホストをスキャンするのは次のように簡単です:

    root@kitploit:~
    $ ./gochopchop scan https://foobar.com

    Docker を使用する

    root@kitploit:~
    docker run gochopchop scan https://foobar.com

    カスタム設定ファイル

    root@kitploit:~
    docker run -v ./:/app chopchop scan -c /app/chopchop.yml https://foobar.com

    今後の予定

    Golang への書き換えは数か月前に行われましたが、やるべきことはまだたくさんあります。以下は統合を計画している機能の一部です: [x] パフォーマンス向上のためのスレッド化 [x] 同時スレッド数を指定する機能 [x] カラー表示とフォーマットの改善 [x] 検索するチェック/シグネチャをフィルタリングする機能 [x] モックと単体テスト [x] Github CI さらに多くの機能を予定しています！

    テスト

    chopchop を素早くエンドツーエンドでテストするために、tests/server.go にテスト用 Web サーバを用意しています。 試すには、go run tests/server.go を実行し、その後 ./gochopchop scan http://localhost:8000 --verbosity Debug で chopchop を実行してください。 ChopChop は "no vulnerabilities found" と表示するはずです。

    また、go test -v ./... で起動できる単体テストもあります。 これらのテストは GitHub CI ワークフローに統合されています。

    使用可能なフラグ

    scan コマンドで使用可能なフラグは以下の通りです:

    フラグ完全なフラグ説明
    -h--helpヘルプウィザード
    -v--verbosityログの詳細レベル
    -c--signatureカスタムシグネチャファイルのパス
    -k--insecureSSL 検証を無効にする
    -u--url-fileテストする URL が記述されたファイルのパス
    -b--max-severity指定した重大度以上の場合に CI パイプラインをブロックする
    -e--export出力のエクスポート形式（csv および/または json）
    --export-filenameエクスポートファイルのファイル名を指定する
    -t--timeoutHTTP リクエストのタイムアウト
    --severity-filter重大度でプラグインをフィルタリングする
    --plugin-filterプラグイン名でプラグインをフィルタリングする
    --threads同時スレッド数

    高度な使い方

    以下は興味があるかもしれない高度な使い方のリストです。 注意: 後処理のために > のようなリダイレクタも使用できます。

    • SSL 検証を無効にしてスキャンする
    root@kitploit:~
    $ ./gochopchop scan https://foobar.com --insecure
    • カスタム設定ファイル（カスタムプラグインを含む）を使用してスキャンする
    root@kitploit:~
    $ ./gochopchop scan https://foobar.com --insecure --signature test_config.yml
    • すべてのプラグイン、または重大度別にプラグインを一覧表示する: plugins または plugins --severity High
    root@kitploit:~
    $ ./gochopchop plugins --severity High
    • 同時スレッド数を指定する: --threads 4 で 4 ワーカー
    root@kitploit:~
    $ ./gochopchop plugins --threads 4
    • 重大度レベルで CI パイプラインをブロックする（指定した重大度以上）: --max-severity Medium
    root@kitploit:~
    $ ./gochopchop scan https://foobar.com --max-severity Medium
    • チェック対象の特定のシグネチャを指定する
    root@kitploit:~
    ./gochopchop scan https://foobar.com --timeout 1 --verbosity --export=csv,json --export-filename boo --plugin-filters=Git,Zimbra,Jenkins
    • すべてのプラグインを一覧表示する
    root@kitploit:~
    $ ./gochopchop plugins
    • 高重大度プラグインを一覧表示する
    root@kitploit:~
    $ ./gochopchop plugins --severity High
    • ファイルに記載された URL のリストを設定する
    root@kitploit:~
    $ ./gochopchop scan --url-file url_file.txt
    • CSV および JSON 形式で GoChopChop の結果をエクスポートする
    root@kitploit:~
    $ ./gochopchop scan https://foobar.com  --export=csv,json --export-filename results

    新しいチェックの作成

    新しいチェックの作成は次のように簡単です:

    root@kitploit:~
      - endpoint: "/.git/config"
    checks:
      - name: Git exposed
        match:
          - "[branch"
        remediation: Do not deploy .git folder on production servers
        description: Verifies that the GIT repository is accessible from the site
        severity: "High"

    エンドポイント（例: /.git/config）は複数のチェックにマッピングされるため、X 回のリクエストを X チェックに対して送信する必要がありません。1 回の HTTP リクエストで複数のチェックを実行できます。 各チェックには次のフィールドが必要です:

    属性型説明オプション?例
    namestringチェックの名前いいえGit exposed
    descriptionstringチェックの簡単な説明いいえEnsure .git repository is not accessible from the webroot
    remediationstringこの特定の「問題」に対する修正方法いいえDo not deploy .git folder on production servers
    severityEnum("High", "Medium", "Low", "Informational")環境でトリガーされた場合の重大度を評価するいいえHigh
    status_codeinteger返されるべき HTTP ステータスコードはい200
    headersList of stringHTTP レスポンスに含まれるべきヘッダーのリストはいN/A
    no_headersList of stringHTTP レスポンスに含まれてはならないヘッダーのリストはいN/A
    matchList of stringHTTP レスポンスに含まれるべき文字列のリストはい"[branch"
    no_matchList of stringHTTP レスポンスに含まれてはならない文字列のリストはいN/A
    query_stringエンドポイントに渡す GET パラメータStringはいquery_string: "id=FOO-chopchoptest"

    外部ライブラリ

    ライブラリ名リンクライセンス
    Viperhttps://github.com/spf13/viperMIT License
    Go-prettyhttps://github.com/jedib0t/go-prettyMIT License
    Cobrahttps://github.com/spf13/cobraApache License 2.0
    strfmthttps://github.com/go-openapi/strfmtApache License 2.0
    Go-homedirhttps://github.com/mitchellh/go-homedirMIT License
    pkg-errorshttps://github.com/pkg/errorsBSD 2 (Simplified License)
    Go-runewidthhttps://github.com/mattn/go-runewidthMIT License

    詳細については、third-party.txt ファイルを参照してください。

    トーク

    • PyCon FR 2019（このツールは当初 Python で開発されました）- https://docs.google.com/presentation/d/1uVXGUpt7tC7zQ1HWegoBbEg2LHamABIqfDfiD9MWsD8/edit
    • DEFCON AppSec Village 2020 "Turning offsec mindset to developer's toolset" - https://drive.google.com/file/d/15P8eSarIohwCVW-tR3FN78KJPGbpAtR1/view

    ライセンス

    ChopChop は Apache License 2.0 のもとでリリースされています。 詳細については、LICENSE ファイルを参照してください。

    作者

    • Paul A.
    • David R.（Python 版）
    • Stanislas M.（Golang 版）
    ツールをダウンロード