如何使用GoKart对Go代码进行静态安全分析
关于GoKart
GoKart是一款针对Go代码安全的静态分析工具，该工具能够从Go源代码中查找使用了SSA（单一静态分配）形式的代码漏洞。GoKart能够跟踪变量和函数参数的来源，以确定输入源是否安全，与其他Go安全扫描程序相比，GoKart能够有效减少误报的数量。例如，与变量连接的SQL查询传统上可能标记为SQL注入，然而，GoKart可以确定变量实际上是常量还是类似常量的参数，在这种情况下GoKart不会报出漏洞。
工具安装
我们可以使用下列方式之一来安装GoKart。
go install安装
广大研究人员可以使用下列命令安装GoKart：
$ go install github.com/praetorian-inc/gokart@latestRelease安装
首先，我们需要访问该项目的Releases页面，并下载GoKart源码至本地系统。
接下来，我们可以下载checksums.txt文件来验证下载包的完整性：
# Check the checksum of the downloaded archive
$ shasum -a 256 gokart_${VERSION}_${ARCH}.tar.gz
b05c4d7895be260aa16336f29249c50b84897dab90e1221c9e96af9233751f22
gokart_${VERSION}_${ARCH}.tar.gz
$ cat gokart_${VERSION}_${ARCH}_checksums.txt | grep gokart_${VERSION}_${ARCH}.tar.gz
b05c4d7895be260aa16336f29249c50b84897dab90e1221c9e96af9233751f22
gokart_${VERSION}_${ARCH}.tar.gz然后，提取已下载好的文档：$ tar -xvf gokart_${VERSION}_${ARCH}.tar.gz最后，将GoKart代码移动至我们的运行路径中：
$ mv ./gokart /usr/local/bin/源码安装
首先，我们需要使用下列命令将该项目源码克隆至本地：
$ git clone https://github.com/praetorian-inc/gokart.git然后切换至项目根目录，并构建源码：
$ cd gokart
$ go build最后，将GoKart代码移动至我们的运行路径中：
$ mv ./gokart /usr/local/binDocker支持
构建Docker镜像：
docker build -t gokart .运行容器，并执行本地扫描（本地扫描目录需要加载至容器镜像中）：
docker run -v /path/to/scan-dir:/scan-dir gokart scan /scan-dir运行容器，并执行远程扫描（指定私钥以作认证，并加载至容器中）：
docker run gokart scan -r https://github.com/praetorian-inc/gokart
# specifying a private key for private repository ssh authentication
docker run -v /path/to/key-dir/:/key-dir gokart scan -r git@github.com:praetorian-inc/gokart.git -k /key-dir/ssh_key工具使用
针对当前目录中的Go模块运行GoKart：
# running without a directory specified defaults to '.'
gokart scan <flags>扫描不同目录中的Go模块：
gokart scan <directory> <flags>查看帮助信息：
gokart help项目地址
https://github.com/praetorian-inc/gokart
参考资料
https://www.praetorian.com/blog/introducing-gokart/
https://github.com/praetorian-inc/gokart/releases
https://github.com/Contrast-Security-OSS/go-test-bench
本文参与 腾讯云自媒体同步曝光计划，分享自微信公众号。
原始发表：2021-11-03，如有侵权请联系 cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读
目录
相关产品与服务
容器服务
腾讯云容器服务（Tencent Kubernetes Engine, TKE）基于原生 kubernetes 提供以容器为核心的、高度可扩展的高性能容器管理服务，覆盖 Serverless、边缘计算、分布式云等多种业务部署场景，业内首创单个集群兼容多种计算节点的容器资源管理模式。同时产品作为云原生 Finops 领先布道者，主导开源项目Crane，全面助力客户实现资源优化、成本控制。