|
| 1 | +[返回目录](/docs/README-zh-CN.md) | [English](./Configuration-and-Parameters.md) |
| 2 | + |
| 3 | +- [命令行参数](#命令行参数) |
| 4 | +- [配置文件说明](#配置文件说明) |
| 5 | +- [漏洞数据库配置示例](#漏洞数据库配置示例) |
| 6 | +- [漏洞数据库字段说明](#漏洞数据库字段说明) |
| 7 | + |
| 8 | + |
| 9 | +# 命令行参数 |
| 10 | + |
| 11 | +| 参数 | 描述 | 使用示例 | |
| 12 | +| --------- | -------------------------------------------- | ------------------------ | |
| 13 | +| `config` | 指定配置文件路径 | `-config config.json` | |
| 14 | +| `path` | 指定检测项目路径, 支持 http(s)/ftp/file 协议 | `-path ./foo` | |
| 15 | +| `out` | 根据后缀生成报告 | `-out out.json,out.html` | |
| 16 | +| `log` | 指定日志文件路径 | `-log my_log.txt` | |
| 17 | +| `token` | 云端服务`token` | `-token xxx` | |
| 18 | +| `proj` | saas项目`token` | `-proj xxx` | |
| 19 | +| `version` | 显示版本信息 | `-version` | |
| 20 | +| `help` | 显示帮助信息 | `-help` | |
| 21 | + |
| 22 | +# 配置文件说明 |
| 23 | + |
| 24 | +配置文件使用 `json` 格式，支持以下字段: |
| 25 | +> 默认会从目标检测路径中查找配置文件, 否则使用[默认配置文件](/config.json)。 可通过 `-config` 参数指定配置文件路径。 |
| 26 | +
|
| 27 | +- `path`: `String` 检测目标路径, 支持 http(s)/ftp/file 协议 |
| 28 | +- `out`: `String` 报告输出路径, 通过后缀名识别文件类型, 支持 html/json/xml/csv/sqlite/cdx/spdx/swid/dsdx |
| 29 | +- `optional`: `Object` 可选配置项 |
| 30 | + - `ui`: `Boolean` 是否启用交互式界面, 默认为 `false` |
| 31 | + - `dedup`: `Boolean` 是否启用组件去重(相同组件仅保留一条记录，组件路径合并), 默认为 `false` |
| 32 | + - `dir`: `Boolean` 是否仅检测目录(跳过压缩包), 默认为 `false` |
| 33 | + - `vuln`: `Boolean` 是否仅保留漏洞组件, 默认为 `false` |
| 34 | + - `progress`: `Boolean` 是否显示进度条, 默认为 `true` |
| 35 | + - `dev`: `Boolean` 是否保留开发组件, 默认为 `true` |
| 36 | + - `tls`: `Boolean` 开启 TLS 证书验证, 默认为 `false` |
| 37 | + - `proxy`: `String` 代理地址, 默认为空 |
| 38 | +- `repo`: `Object` 组件仓库配置 |
| 39 | + - `maven`: `Array` maven 镜像/私服仓库配置 |
| 40 | + - `url`: `String` 仓库地址 |
| 41 | + - `user`: `String` 用户名 |
| 42 | + - `pass`: `String` 密码 |
| 43 | + - `npm`: `Array` npm 镜像/私服仓库配置 |
| 44 | + - `url`: `String` 仓库地址 |
| 45 | + - `user`: `String` 用户名 |
| 46 | + - `pass`: `String` 密码 |
| 47 | + - `composer`: `Array` composer 镜像/私服仓库配置 |
| 48 | + - `url`: `String` 仓库地址 |
| 49 | + - `user`: `String` 用户名 |
| 50 | + - `pass`: `String` 密码 |
| 51 | +- `origin`: `Object` 漏洞数据源配置 |
| 52 | + - `url`: `String` 漏洞数据源地址 |
| 53 | + - `token`: `String` 云端漏洞数据库个人访问令牌 |
| 54 | + - `proj`: `String` 项目访问令牌, 若置空则同步结果至"快速检测", 若无此字段(注释或删除)则不将结果同步至 OpenSCA SaaS |
| 55 | + - `json`: `String` JSON 格式漏洞数据库路径 |
| 56 | + - `mysql`: `Object` MySQL 数据库漏洞数据源配置 |
| 57 | + - `dsn`: `String` 数据库连接字符串 |
| 58 | + - `table`: `String` 数据表名 |
| 59 | + - `sqlite`: `Object` SQLite 数据库漏洞数据源配置 |
| 60 | + - `dsn`: `String` 数据库连接字符串 |
| 61 | + - `table`: `String` 数据表名 |
| 62 | + |
| 63 | +# 漏洞数据库配置示例 |
| 64 | + |
| 65 | +```json |
| 66 | +{ |
| 67 | + // ... |
| 68 | + "origin": { |
| 69 | + // json 文件 |
| 70 | + "json": "vuln-db.json", |
| 71 | + // MySQL |
| 72 | + "mysql": { |
| 73 | + // user:password@tcp(ip:port)/dbname |
| 74 | + "dns": "opensca:opensca@tcp(3306:127.0.0.1)/opensca", |
| 75 | + "table": "vuln" |
| 76 | + } |
| 77 | + "sqlite": { |
| 78 | + "dns": "vuln.db", |
| 79 | + "table": "vuln" |
| 80 | + } |
| 81 | + } |
| 82 | + |
| 83 | +} |
| 84 | +``` |
| 85 | + |
| 86 | +# 漏洞数据库字段说明 |
| 87 | + |
| 88 | +| 字段 | 描述 | 是否必填 | |
| 89 | +| :------------------ | :-------------------------------- | :------- | |
| 90 | +| `vendor` | 组件厂商 | 否 | |
| 91 | +| `product` | 组件名 | 是 | |
| 92 | +| `version` | 漏洞影响版本 | 是 | |
| 93 | +| `language` | 组件语言 | 是 | |
| 94 | +| `name` | 漏洞名 | 否 | |
| 95 | +| `id` | 自定义编号 | 是 | |
| 96 | +| `cve_id` | cve 编号 | 否 | |
| 97 | +| `cnnvd_id` | cnnvd 编号 | 否 | |
| 98 | +| `cnvd_id` | cnvd 编号 | 否 | |
| 99 | +| `cwe_id` | cwe 编号 | 否 | |
| 100 | +| `description` | 漏洞描述 | 否 | |
| 101 | +| `description_en` | 漏洞英文描述 | 否 | |
| 102 | +| `suggestion` | 漏洞修复建议 | 否 | |
| 103 | +| `attack_type` | 攻击方式 | 否 | |
| 104 | +| `release_date` | 漏洞发布日期 | 否 | |
| 105 | +| `security_level_id` | 漏洞风险评级 | 否 | |
| 106 | +| `exploit_level_id` | 漏洞利用评级 | 否 | |
| 107 | + |
| 108 | +- `language` 可选值: `java` `javascript` `golang` `rust` `php` `ruby` `python` |
| 109 | +- `version` 描述可使用以下格式: |
| 110 | + | 符号 | 描述 (`x`为检出的组件版本) | |
| 111 | + | ------------- | -------------------------------- | |
| 112 | + | `[a,b]` | `a<=x<=b` | |
| 113 | + | `(a,b)` | `a<x<b` | |
| 114 | + | `[a,b)` | `a<=x<b` | |
| 115 | + | `(a,b]` | `a<x<=b` | |
| 116 | + | `(0,b)` | `x<b` | |
| 117 | + | `(a,)` | `x>a` | |
| 118 | + | `{a,b,c,...}` | `x=a` 或 `x=b` 或 `x=c` 或 `...` | |
| 119 | + > 同时位于多个范围需要用`||`连接，例如: `[a,b)||(b,c]`代表`a<=x<b`或`b<x<=c`，即`a<=x<=c`且`x!=b` |
| 120 | + > |
| 121 | + > 也可以区间和集合混用: `(0,b)||{c,d}||[e,)`代表`x<b`或`x=c`或`x=d`或`x>=e` |
| 122 | +- `security_level_id` 可选值: `1` `2` `3` `4`, 分别对应严重、高危、中危、低危 |
| 123 | +- `exploit_level_id` 可选值 `0`:不可利用 `1`:可利用 |
0 commit comments