ChopChop

ChopChop は、Michelin CERT が最初に作成した、Web アプリケーション向けの動的アプリケーションセキュリティテスト（DAST）を行うコマンドラインツールです。

その目的は、複数のエンドポイントをスキャンし、Web ルートを通じて公開されているサービス/ファイル/フォルダを特定することです。 チェック/シグネチャは設定ファイル（デフォルト: chopchop.yml）に宣言され、完全に設定可能であり、特に開発者がカスタマイズできます。

"Chop chop" は広東語に由来するフレーズです。"Chop chop" は「急いで」という意味で、何かを今すぐ遅延なく行うべきであることを示唆しています。

目次

• ビルド
• 使い方
  • 使用可能なフラグ
  • 高度な使い方
• 新しいチェック/シグネチャの作成
• 外部ライブラリ
• トーク
• ライセンス
• 作者

ビルド

ビルドプロセスを簡単にすることを目指しており、以下のように簡単に行えるはずです:

$ go mod download
$ go build .

フォルダ内に gochopchop バイナリが生成されるはずです。

Docker を使用する

Github Container Registry のおかげで、新しくビルドされた Docker イメージを提供できます！

docker run ghcr.io/michelin/gochopchop scan https://foobar.com -v debug

ただし、ローカルでビルドしたい場合は以下の手順を参照してください:

ローカルでビルド

docker build -t gochopchop .

使い方

goChopChop を可能な限り簡単に使いやすくするよう継続的に努力しています。このツールでホストをスキャンするのは次のように簡単です:

$ ./gochopchop scan https://foobar.com

Docker を使用する

docker run gochopchop scan https://foobar.com

カスタム設定ファイル

docker run -v ./:/app chopchop scan -c /app/chopchop.yml https://foobar.com

今後の予定

Golang への書き換えは数か月前に行われましたが、やるべきことはまだたくさんあります。以下は統合を計画している機能の一部です: [x] パフォーマンス向上のためのスレッド化 [x] 同時スレッド数を指定する機能 [x] カラー表示とフォーマットの改善 [x] 検索するチェック/シグネチャをフィルタリングする機能 [x] モックと単体テスト [x] Github CI さらに多くの機能を予定しています！

テスト

chopchop を素早くエンドツーエンドでテストするために、tests/server.go にテスト用 Web サーバを用意しています。 試すには、go run tests/server.go を実行し、その後 ./gochopchop scan http://localhost:8000 --verbosity Debug で chopchop を実行してください。 ChopChop は "no vulnerabilities found" と表示するはずです。

また、go test -v ./... で起動できる単体テストもあります。 これらのテストは GitHub CI ワークフローに統合されています。

使用可能なフラグ

scan コマンドで使用可能なフラグは以下の通りです:

高度な使い方

以下は興味があるかもしれない高度な使い方のリストです。 注意: 後処理のために > のようなリダイレクタも使用できます。

• SSL 検証を無効にしてスキャンする

$ ./gochopchop scan https://foobar.com --insecure

• カスタム設定ファイル（カスタムプラグインを含む）を使用してスキャンする

$ ./gochopchop scan https://foobar.com --insecure --signature test_config.yml

• すべてのプラグイン、または重大度別にプラグインを一覧表示する: plugins または plugins --severity High

$ ./gochopchop plugins --severity High

• 同時スレッド数を指定する: --threads 4 で 4 ワーカー

$ ./gochopchop plugins --threads 4

• 重大度レベルで CI パイプラインをブロックする（指定した重大度以上）: --max-severity Medium

$ ./gochopchop scan https://foobar.com --max-severity Medium

• チェック対象の特定のシグネチャを指定する

./gochopchop scan https://foobar.com --timeout 1 --verbosity --export=csv,json --export-filename boo --plugin-filters=Git,Zimbra,Jenkins

• すべてのプラグインを一覧表示する

$ ./gochopchop plugins

• 高重大度プラグインを一覧表示する

$ ./gochopchop plugins --severity High

• ファイルに記載された URL のリストを設定する

$ ./gochopchop scan --url-file url_file.txt

• CSV および JSON 形式で GoChopChop の結果をエクスポートする

$ ./gochopchop scan https://foobar.com  --export=csv,json --export-filename results

新しいチェックの作成

新しいチェックの作成は次のように簡単です:

  - endpoint: "/.git/config"
    checks:
      - name: Git exposed
        match:
          - "[branch"
        remediation: Do not deploy .git folder on production servers
        description: Verifies that the GIT repository is accessible from the site
        severity: "High"

エンドポイント（例: /.git/config）は複数のチェックにマッピングされるため、X 回のリクエストを X チェックに対して送信する必要がありません。1 回の HTTP リクエストで複数のチェックを実行できます。 各チェックには次のフィールドが必要です:

外部ライブラリ

詳細については、third-party.txt ファイルを参照してください。

トーク

• PyCon FR 2019（このツールは当初 Python で開発されました）- https://docs.google.com/presentation/d/1uVXGUpt7tC7zQ1HWegoBbEg2LHamABIqfDfiD9MWsD8/edit
• DEFCON AppSec Village 2020 "Turning offsec mindset to developer's toolset" - https://drive.google.com/file/d/15P8eSarIohwCVW-tR3FN78KJPGbpAtR1/view

ライセンス

ChopChop は Apache License 2.0 のもとでリリースされています。 詳細については、LICENSE ファイルを参照してください。

作者

• Paul A.
• David R.（Python 版）
• Stanislas M.（Golang 版）