bomber是一款针对软件物料清单(SBOM)的安全漏洞扫描工具,广大研究人员可以通过该工具扫描和检测软件物料清单(SBOM)。
当你向一家供应商索要了他们的一个封闭源代码产品的软件材料清单,而他们以JSON文件的形式向你提供了一份材料清单,接下来你需要怎么做呢?
我们要做的第一件事就是查看软件物料清单中列出的任意组件是否存在安全漏洞,以及这些组件具有何种许可证,这将帮助我们确认使用该产品将承担何种风险。
而bomber正好可以帮助我们,该工具可以读取任何基于JSON或XML的CycloneDX格式,或JSON SPDX或Syft格式的SBOM,然后立刻告诉广大研究人员目标SBOM中是否存在任何安全漏洞。
bomber支持下列SBOM格式:
SPDX
CycloneDX
Syft
我们可以直接使用Homebrew来安装bomber:
brew tap devops-kung-fu/homebrew-tap
brew install devops-kung-fu/homebrew-tap/bomber
如果你不想用Homebrew安装的话,也可以直接访问该项目的【Releases页面:https://github.com/devops-kung-fu/hookz/releases】下载最新版本的bomber,例如bomber_0.1.0_darwin_all.tar.gz。
然后将bomber的代码拷贝到/usr/local/bin目录下,即可在命令行窗口中使用bomber了。
如需在Linux上安装bomber,可以直接该项目的【Releases页面:https://github.com/devops-kung-fu/hookz/releases】下载对应平台的bomber,并在本地设备上安装:
dpkg -i bomber_0.1.0_linux_arm64.deb
我们可以直接扫描包含多个SBOM的目录,或单个SBOM。
扫描单个SBOM
bomber scan spdx.sbom.json
bomber scan --provider=xxx --username=xxx --token=xxx spdx-sbom.json
bomber scan --username=xxx --token=xxx ./sboms
bomber scan bad-bom.json --output=html
bomber scan bad-bom.json --output=json
本项目的开发与发布遵循MPL-2.0开源许可证协议。
bomber:https://github.com/devops-kung-fu/bomber
https://cyclonedx.org/
https://spdx.dev/
https://github.com/anchore/syft
https://brew.sh/
https://github.com/devops-kung-fu/hookz
精彩推荐