简介

Microsoft Application Inspector 是一个软件源代码特征分析工具，帮助识别第一方或第三方软件组件的编码特征，基于已知的库/API调用，在安全和非安全用例中都有帮助。它使用数百条规则和正则表达式模式来揭示源代码中有趣的特征，帮助确定软件是什么或它做什么，从它使用的文件操作、加密、Shell操作、云API、框架等方面进行判断，并且作为一项新的有价值的OSS贡献受到了行业关注，出现在ZDNet、SecurityWeek、CSOOnline、Linux.com/news、HelpNetSecurity、Twitter 等媒体上，并首次在 Microsoft.com 上亮相。

Application Inspector 不同于传统的静态分析工具，它不试图识别“好”或“坏”的模式；它只是根据一套超过400条规则模式来报告它发现的内容，用于特征检测，包括影响安全的功能，如加密的使用等。这可以极大地减少通过直接检查源代码来确定开源或其他组件功能所需的时间，而不是依赖有限的文档或推荐。

该工具支持扫描多种编程语言，包括 C、C++、C#、Java、JavaScript、HTML、Python、Objective-C、Go、Ruby、PowerShell 和更多，并且可以扫描包含混合语言文件的项目。它支持生成 HTML、JSON 和文本输出格式的结果，默认输出为 HTML 报告，类似于下图所示。

appinspector-Features

请务必查看我们的完整项目维基页面 https://Github.com/Microsoft/ApplicationInspector/wiki 以获取更多信息和帮助。

快速入门

获取 Application Inspector

.NET 工具（推荐）

下载并安装 .NET 6 SDK
运行 dotnet tool install --global Microsoft.CST.ApplicationInspector.CLI

更多信息请参阅维基

平台相关二进制文件

通过选择 Releases 的 Assets 部分下所示的操作系统的预构建包来下载 Application Inspector。

运行 Application Inspector

Nuget 工具：appinspector analyze -s path/to/src
平台特定：applicationinspector.cli.exe analyze -s path/to/src

目标

Microsoft Application Inspector 帮助您在从开始到部署的整个过程中保护您的应用程序安全。

设计选择 - 使您能够选择满足需求的组件，减少不必要或未知功能的数量，从而缩小应用程序的攻击面，同时帮助验证预期功能，例如仅使用行业标准加密。

识别特征差异 - 检测组件版本之间的变化，这对于检测后门注入至关重要。

自动化安全合规检查 - 用于识别具有需要额外安全审查、批准或 SDL 合规性特征的组件，作为构建管道的一部分，或者创建关于所有企业应用程序的元数据存储库。

贡献

我们有强大的默认规则基础用于特征检测。但还有许多特征识别模式尚未定义，我们邀请您提交想法，告诉您希望看到什么，或者尝试定义一些。这是一个真正影响开源生态系统的机会，帮助提供一个每个人都可以使用的工具。请参阅维基的 Rules 部分了解更多。

官方发布

Application Inspector 处于通用发布版本状态。您的反馈对我们很重要。如果您有兴趣贡献，请查看 CONTRIBUTING.md。

Application Inspector 可作为命令行工具或 NuGet 包使用，支持 Windows、Linux 或 MacOS。

ApplicationInspector CLI 的平台特定二进制文件可在我们的 GitHub releases page 上获取。

C# 库可在 NuGet 上以 Microsoft.CST.ApplicationInspector.Commands 形式获取。

.NET 全局工具可在 NuGet 上以 Microsoft.CST.ApplicationInspector.CLI 形式获取。

如果您使用 .NET Core 版本，则需要安装 .NET 6.0 或更高版本。请参阅 JustRunIt.md 或 Build.md 文件了解更多。

CLI 使用信息

> appinspector --help
ApplicationInspector.CLI 1.8.4-beta+976ee3cdd1
c Microsoft Corporation. All rights reserved.

  analyze        Inspect source directory/file/compressed file (.tgz|zip)
                 against defined characteristics

  tagdiff        Compares unique tag values between two source paths

  exporttags     Export the list of tags associated with the specified rules.
                 Does not scan source code.

  verifyrules    Verify custom rules syntax is valid

  packrules      Combine multiple rule files into one file for ease in
                 distribution

  help           Display more information on a specific command.

  version        Display version information.

示例：

命令帮助

要获取特定命令的帮助，请运行 appinspector <command> --help。

Analyze 命令

Analyze 命令是 Application Inspector 的主力功能。

简单默认分析

这将使用默认参数和规则在当前目录中生成一个 output.html 分析报告。

appinspector analyze -s path/to/files

输出 Sarif

appinspector analyze -s path/to/files -f sarif -o output.sarif

输出 Markdown

这将创建一个适合 CI 环境的 Markdown 输出，包含关键特征的摘要。

appinspector analyze -s path/to/files -f markdown -o report.md

使用 Globs 排除文件

这将使用提供的 glob 模式，排除 test 和 .git 文件夹中的所有文件，在当前目录中生成一个名为 data.json 的 JSON 分析输出。

appinspector analyze -s path/to/files -o data.json -f json -g **/tests/**,**/.git/**

其他使用信息

关于控制台界面的更多帮助，请参阅 CLI Usage。

关于使用 NuGet 包的帮助，请参阅 NuGet Support

构建说明

请参阅 build.md

隐私

本应用程序的使用受 Microsoft 隐私声明的约束。

ApplicationInspector v1.10.1

分类