🚑 注意：希望为其 SAS 9.4 或 SAS Viya 3.x 部署打补丁的 SAS 客户应遵循 SAS Help Center 文档 中提供的具体说明。

这是什么

该项目是 logpresso/CVE-2021-44228-Scanner 的早期分支，最初经过修改以递归检查归档文件，并增加了对 tar/gz 压缩格式的支持。自分支以来，该项目与原始项目并行发展，实现了许多类似的功能，尽管大部分代码已被重写。虽然原始的“修复”功能已被一种 patch 方法所取代，该方法支持一些深层嵌套的边界情况，并且对失败和回滚更具容忍性，但检测机制（scan 命令）的工作方式与原始版本非常相似。

如何获取

您可以从 Releases 页面 下载该工具的一个版本，或通过本页顶部的链接下载。原生镜像 是一个独立的可执行文件，可在 EL7 及更高版本上运行。jar 文件 可在 JRE 1.8+ 上通过 java -jar 运行。这目前是在其他平台和较旧版本的 glibc（包括 Windows、AIX、Solaris 等）上运行的最佳方式。

下载原生镜像后，需要先执行 chmod +x 才能运行该文件。

如何使用

无论您调用的是 .jar 文件还是原生可执行文件，命令语法都是相同的。例如：

在功能上与以下命令完全相同：

loguccino help 命令提供有关可用命令的文档。

扫描易受攻击的 .jar 文件

这将遍历 /path/to/approot 中的所有子目录，包括递归遍历所有嵌套的 .tar.gz、.tgz、.tar、.zip、.ear、.war 和 .jar 归档文件。

将在工作目录中创建一个名为 loguccino-scan-[datetime].csv 的 .csv 文件，其中包含以下数据：

• AffectedFile 是文件系统中被发现包含漏洞的文件的完整路径。示例值： /opt/sas/config/Lev1/Web/Staging/sas.webreportstudio4.4.21w47AIX.ear/install/deploy/21w47SASConfig/Lev5/Web/Staging/sas.webreportstudio4.4.21w47AIX.ear
• NestedPath 是归档文件中发现漏洞的路径。例如，此处 log4j-core-2.1.jar 文件是在 .ear 归档文件（上述 AffectedFile）内打包的 WRS .war 归档文件中找到的。 opt/sas/config/Lev1/Web/Staging/sas.webreportstudio4.4.21w47AIX.ear::sas.webreportstudio.war::WEB-INF/lib/log4j-core-2.1.jar
• AffectedVersion 是在嵌套路径上的受影响文件中发现的 Log4J 版本。
• Patched 表示此归档中此易受攻击的 Log4J jar 实例是否已被修补。

有关 scan 命令的更多信息，可通过 ./loguccino help scan 获取。

修补易受攻击的 .jar 文件

如果发现漏洞，loguccino-scan-[datetime].csv 将作为 patch 命令的输入：

这将移除发现的每个漏洞，并创建一个 loguccino-patch-[timestamp] 目录，其中包含每个已修补文件的备份。如果某个文件因多个漏洞而被修补（例如包含多个工具或软件版本的较大备份归档文件），则在流程的每个阶段都会备份已修补文件的多个版本，以便在失败时进行分阶段回滚。

注意：
修补磁盘上的文件并不会修补主机上已在运行的程序版本。请记住，您必须在修补前停止相关服务/应用程序，并在修补后重新启动它们，更改才能生效。

有关 patch 命令的更多信息，可通过 ./loguccino help patch 获取。

演示

已知问题

损坏归档文件的遍历

扫描漏洞时，某些归档文件可能会被报告为损坏（当嵌套归档文件的压缩方法与归档文件扩展名不匹配时也会发生这种情况）。scan 命令会将这些文件的路径打印到 logpresso-scan-[datetime].log 中。如果这些文件被认为很重要，应手动解压缩并检查（或扫描）这些归档文件，以确认它们确实已损坏。

未知问题

如果您遇到任何错误或意外行为，请提交 issue，并附上重现该错误的步骤以及其他背景信息。

欢迎并鼓励提交拉取请求和代码更新。