Checkmarx-CVE-2025-30066-检测工具

这些工具用于扫描您的 GitHub 工作流和日志，以发现与 CVE-2025-30066 相关的潜在恶意操作。它会检查一组已知的危险 GitHub Actions 以及嵌入在工作流文件中的可疑代码片段，同时还会检测因 CVE-2025-30066 而暴露到日志中的机密信息。

CxGithubActionsScan

扫描内容

该脚本会在您的工作流文件中查找以下内容：

GitHub Actions：
    reviewdog/action-setup
    reviewdog/action-shellcheck
    reviewdog/action-composite-template
    reviewdog/action-staticcheck
    reviewdog/action-ast-grep
    reviewdog/action-typos
    tj-actions/changed-files
    tj-actions/eslint-changed-files

恶意代码片段：

一个 base64 编码的片段：

IyEvdXNyL2Jpbi9lbnYgcHl0aG9uMwoKIyBiYXNlZCBvbiBodHRwczovL2RhdmlkZWJvdmUuY29tL2Jsb2cvP3A9MTY

扫描选项

您可以通过以下三种模式之一运行扫描：

组织扫描：使用 --org 标志扫描组织内的所有仓库。
仓库扫描：使用 --repo 标志扫描特定仓库（格式：owner/repo 或完整的 GitHub URL）。
用户扫描：使用 --user 标志扫描特定用户的所有仓库。

GitHub 个人访问令牌（PAT）

要访问仓库内容，您需要通过 --token 标志提供 GitHub 个人访问令牌（PAT）：

组织扫描：PAT 必须包含 repo 和 read:org 范围。
用户/仓库扫描：PAT 应具有 repo（对于私有仓库）或 public_repo（对于公共仓库）。

如何获取您的 GitHub PAT

1. 登录 GitHub 并点击您的个人头像。
2. 导航到 Settings → Developer settings → Personal access tokens。
3. 点击 Generate new token，提供描述性名称，并选择所需的范围。
4. 生成并复制令牌。

示例命令

要使用默认关键词扫描名为 myorg 的组织中的所有仓库，请运行：

python CxGithubActionsScan.py --org myorg --token YOUR_GITHUB_PAT

CxGithub2msScan

CxGithub2msScan 是一个 Python 工具，用于下载指定仓库的 GitHub Actions 工作流运行日志，并使用 Checkmarx 2ms 工具扫描这些日志以检测机密或泄露的密钥。

要求

• Python 3.x
• 2ms.exe（Checkmarx 2ms CLI）必须位于您的 PATH 中或与脚本相同的目录中。
  从以下地址下载 2ms 二进制文件：https://github.com/Checkmarx/2ms
• 具有访问仓库 Actions 日志权限的 GitHub 个人访问令牌。

GitHub 个人访问令牌（PAT）

要访问仓库内容，您需要通过 --token 标志提供 GitHub 个人访问令牌（PAT）：

如何获取您的 GitHub PAT

1. 登录 GitHub 并点击您的个人头像。
2. 导航到 Settings → Developer settings → Personal access tokens。
3. 点击 Generate new token，提供描述性名称，并选择所需的范围。
4. 生成并复制令牌。

用法

使用必需参数从命令行运行该工具。例如：

python CxGithub2msScan.py --owner your_org --repo your_repo --days 7 --token YOUR_GITHUB_TOKEN --output logs