PackageDNA檢測目標軟體包的安全性

導讀	PackageDNA可以幫助我們檢測目標軟體包中可能的後門、嵌入的惡意程式碼、輸入錯誤分析、版本歷史記錄和CVE漏洞等資訊。

PackageDNA是一款功能強大的程式碼安全檢測工具。在很多場景中，我們往往會在自己的程式碼或專案中使用其他的軟體包。而該工具可以幫助廣大開發人員、研究人員和組織分析採用不同程式語言開發的軟體包安全，並提供相關軟體包的安全資訊，使我們能夠提前知道此軟體庫是否符合安全開發流程。

PackageDNA可以幫助我們檢測目標軟體包中可能的後門、嵌入的惡意程式碼、輸入錯誤分析、版本歷史記錄和CVE漏洞等資訊。

廣大研究人員可以使用下列 將該專案原始碼克隆至本地：

git clone 

PackageDNA使用了python-magic，即針對libmagic C程式碼庫的一個簡單封裝，因此我們同樣需要安裝好這個庫。

Debian/Ubuntu：

$ sudo apt-get install libmagic1

macOS：

brew install libmagic 
 
port install file

Windows：

pip install 

接下來，執行下列安裝 ：

python3 setup.py install --user

PackageDNA使用了外部模組來實現其分析功能，因此同樣需要預先安裝下列外部模組。

• Microsoft AppInpsector：
• Virus Total API：
• LibrariesIO API：
• Rubocop：

安裝之後，你就可以直接配置外部模組了：

[1] VirusTotal API Key: Your API KEY 
 
[2] AppInspector absolute path: /Local/Path/MSAppInpsectorInstallation 
 
[3] Libraries.io API Key: Your API KEY 
 
[4] Github Token: Your Token 
 
[B] Back 
 
[X] Exit

注意：外部模組並不是必須的，不安裝外部模組PackageDNA也能繼續執行，但我們建議廣大使用者安裝這些模組，以便工具執行完整的分析。

開啟 行終端，切換到專案根目錄，並執行下列命令：

./packagedna.py 
 
_____              _                          ____     __     _  _______ 
 
|  __ \            | |                        |  __ \  |   \  | ||  ___  | 
 
| |__) |__ __ ____ | | __   __ __  ____   ___ | |  \ \ | |\ \ | || |___| | 
 
|  ___// _` |/  __)| |/ /  / _` | / _  | / _ \| |   | || | \ \| ||  ___  | 
 
| |   | (_| || (__ | |\ \ | (_| || (_| ||  __/| |__/ / | |  \   || |   | | 
 
|_|    \__,_|\____)|_| \_\ \__,_| \__  | \___||_____/  |_|   \__||_|   |_| 
 
                                   __| | 
 
                                  (____| 
 
  
 
Modular Packages Analyzer Framework 
 
By ElevenPaths 
 
Usage: python3 ./packagedna.py 
 
  
 
[*] -------------------------------------------------------------------------------------------------------------- [*] 
 
[!] Select from the menu: 
 
[*] -------------------------------------------------------------------------------------------------------------- [*] 
 
[1] 分析包（最新版本） 
 
[2] 分析包（所有版本） 
 
[3] 分析本地包 
 
[4] 資訊收集 
 
[5] 上傳檔案並分析所有包 
 
[6] 列出之前分析過的包 
 
[7] 工具配置 
 
[X] 退出 
 
[*] -------------------------------------------------------------------------------------------------------------- [*] 
 
[!] Enter your selection:

原文來自：