ChopChop 使用教程

ChopChop 使用教程

ChopChop ChopChop is a CLI to help developers scanning endpoints and identifying exposition of sensitive services/files/folders. 项目地址: https://gitcode.com/gh_mirrors/ch/ChopChop

1. 项目目录结构及介绍

ChopChop 项目是一个用于动态应用程序安全测试的命令行工具，主要用于扫描Web应用程序的端点，以识别通过webroot暴露的服务、文件或文件夹。以下是项目的目录结构及各部分的简要介绍：

ChopChop/
├── .github/              # GitHub 工作流文件
├── cmd/                  # 主应用程序入口
├── core/                 # 核心逻辑实现
├── docs/                 # 文档资料
├── img/                  # 图片资源
├── internal/             # 内部模块
├── mock/                 # 模拟测试
├── tests/                # 测试相关
├── .gitignore            # Git 忽略文件
├── .yamllint.yml         # YAML 格式校验文件
├── Dockerfile            # Docker 容器构建文件
├── LICENSE               # 开源协议文件
├── README.md             # 项目说明文件
├── chopchop.yml          # 默认配置文件
├── go.mod                # Go 依赖管理文件
├── go.sum                # Go 依赖校验文件
└── main.go               # 程序入口文件

2. 项目的启动文件介绍

项目的启动文件是 main.go，它定义了程序的入口点。在这个文件中，我们设置了命令行参数的解析，初始化了配置，并且启动了扫描流程。

以下是 main.go 文件的关键部分：

package main

import (
    "flag"
    "os"
    "github.com/michelin/chopchop/cmd"
)

func main() {
    flag.Parse()
    if len(os.Args) < 2 {
        cmd.Usage()
        return
    }

    cmd.Execute()
}

在这里，我们使用 flag 包解析命令行参数，并且通过 cmd 包提供的 Usage 和 Execute 方法来展示帮助信息或执行扫描。

3. 项目的配置文件介绍

项目的配置文件是 chopchop.yml，它定义了扫描时使用的默认检查项（checks）。这些检查项指定了哪些端点（endpoint）需要被扫描，以及预期的响应内容。

以下是 chopchop.yml 文件的一个例子：

endpoint: "/.git/config"
checks:
  - name: "Git exposed"
    description: "Ensure .git repository is not accessible from the webroot"
    remediation: "Do not deploy .git folder on production servers"
    severity: "High"
    status_code: 200
    no_match: []
    match: "[branch"

在这个配置中，我们定义了一个检查项，它会检查 .git/config 文件是否可以从Web根目录访问。如果可以访问，这通常意味着Git仓库在生成环境中被错误地暴露了，这会是一个高风险的安全问题。通过配置文件，用户可以自定义检查项，以满足特定的安全需求。

ChopChop ChopChop is a CLI to help developers scanning endpoints and identifying exposition of sensitive services/files/folders. 项目地址: https://gitcode.com/gh_mirrors/ch/ChopChop