步步为营，如何将GOlang引用库的安全漏洞修干净

2023-09-18 17:23:30

文章目录

近期，笔者接到一个任务，因为代码安全原因，需要批量升级一系列的Golang第三方组件，这里面包含了直接引用的第三方库和间接引用的第三方库，其中第三方库也包括能够直接升级和不能直接升级两种，这里把相关解决方案沉淀在此，供大家参考

引

首先，随着Golang语言的火热，不论是官方还是开发者都越来越重视其中的安全问题，Golang安全团队在2023年也发布了govulncheck的1.0.0版本，而在业界，也有一些比较好的扫描工具可以用比如trivy。

不论是哪一种静态扫描或镜像扫描工具，都会给出一系列的官方引用库的修复指引，这时候，很多开发者发现，事情其实没有者这么简单，直接引用的还好，根据修复指引和漏洞信息找到对应的版本就好，间接引用的版本，由于涉及到第三方库自身的升级，这里需要操作的步骤比较多，而且有的第三方库可能没有最新的release版本，这个是否如何进行安全的升级变成了一个问题，这里就把几种升级方式进行分享。

场景构建

首先，在岁月静好的一天，作为研发的你，发现了一个了不起的漏洞扫描软件trivy，经过研发，你发现它可以直接扫描仓库代码进行漏洞扫描，尝试扫描项目后，结果如下：
在这里插入图片描述

啊,原来代码中引用的Gin版本太低了，存在漏洞，需要升级，怎么操作呢？

第一步、直接引用的第三方库升级修复策略

1.确认是否为直接引用的第三方库

你从修复指引中了解到，需要将Gin从1.8.1升级到1.9.0版本，那么，你很自然的在Golang项目中查找go.mod文件，看看直接引用库Gin的版本：

在这里插入图片描述

发现确实是1.8.1，说明项目确实直接引用Gin库需要升级，那怎么找到可以升级的版本呢？

当然，在这个示例中，trivy漏洞指引中已经告诉你需要升级1.9.0release版本，所以可以直接跳过第二步，笔者这里主要针对没有直接列出可修复release版本的情况

2.找到需要升级的版本是否为release版本

一种方法是去库对应的官网，比如在Gin的官网得知1.9.0是一个release版本

在这里插入图片描述

还有一种方法比较快捷的方式：

在go.mod同级目录下，执行：

go list -m -mod=mod -u all

这个命令会列出所有直接引用库以及它们的版本，并且会标出哪些包需要升级。

在这里插入图片描述

上图中括号里面显示的是，可以升级的最新release版本### 3.进行升级

使用以下命令来升级：

go get -u <package-name>

示例如下：
在这里插入图片描述

这样就可以将直接引用的有release版本的第三方库进行升级

至此，我们通过对直接引用的GIn库进行升级.修复了安全漏洞

然后当你再用trivy工具进行扫描时，发现问题并没有解决：

在这里插入图片描述

这里我们以trivy工具扫描的结果为示例

Gin的1.8.1的问题还在

在这里插入图片描述

这时，你决定对整个项目进行搜索，发现在go.sum文件中存在对Gin的1.8.1版本的引用

在这里插入图片描述

你发现，事情没有这个简单了

在这里插入图片描述

第二步、间接引用的第三方库升级修复策略

再回到这个扫描结果

在这里插入图片描述

这里我们以trivy工具扫描的结果为示例

再次查看go.sum文件，
在这里插入图片描述

你观察到，有的引用库是一个SHA信息，有的引用库有两个SHA信息

比如上图的1.8.1只有一个哈希值，而1.9.1有两个哈希值，这是为什么？

原来，go.sum的存在的意义在于：希望别人或者在别的环境中构建当前项目时所使用引用库跟 go.sum 中记录的是完全一致的，从而达到一致构建的目的。

如果在go.mod记录了一个引用库，则在go.sum 文件中则会记录引用库的哈希值（同时还有引用库中 go.mod 的哈希值）

反过来，如果只有一个哈希值，说明这个引用库是个间接引用库

参考资料：https://my.oschina.net/renhc/blog/3171035

那么问题来了，我们这么间接引用库的对应的直接引用库是哪个呢？

答案是：go mod graph

这个命令会列出所有直接和间接依赖项之间的依赖关系。你可以在这个列表中查找你要升级的包，并找到直接或间接依赖它的包。然后，你可以查看这些包的版本，看看它们是否需要升级。

在这里插入图片描述

例如上图，可以看到，X/text是gin1.9.1版本的引用库

而下图则显示，cors库引用了gin的1.8.1：

在这里插入图片描述

当然，这里的引用关系比较多，看控制台数据会比较不直观，特别是层层引用的情况。这里推荐一个可视化的工具gmchart

安装方式

go get -u github.com/PaulXu-cn/go-mod-graph-chart/gmchart

使用方式

go mod graph | gmchart

在这里插入图片描述

它会生成一个html的引用依赖图：

在这里插入图片描述

在这里插入图片描述

这样就可以看层层的引用关系了

通过上面两个图，发现原来有来两个库的gin版本是1.8.1,一个是gin-contrib/cors，另一个是swaggo/gin-swagger

下面我们来看看，怎么升级这两个引用库

（一）没有release版本，但直接引用库有最新的代码可升级

首先看cors库， 通过go list -m -mod=mod -u all命令，发现cors并没有可升级的release版本

在这里插入图片描述

去git上找下最近release版本是不是没有收录

在这里插入图片描述

果然已经是最新的release

在这里插入图片描述

不慌，这个时候，还有机会，可以去源代码处找下最新代码：

在这里插入图片描述

恩，最新代码改了，只不过没有发布release版本，这个时候，可以把源代码下载下来，直接引用

（1）将最新代码下载到项目某个子目录下

在这里插入图片描述

（2）然后修改go.mod文件，将自动引用替换为指定引用：

在这里插入图片描述

（3）执行go mod tidy 和go mod vender

其中，go mod tidy的作用是自检一下修改go.mod文件是否正确；

go mod vendor则基于go.mod文件生成vendor, 即下载对应的内容

执行完后，查看vendor文件夹下的modules.txt文件，看下修改是否生效
在这里插入图片描述

上图则表示，生效了！

（4）执行go build

在这里插入图片描述

看下是否编译通过即可！

cors引用库的问题解决了

（二）没有release版本，且直接引用库有没有最新的代码可升级

那么开始解决swagger引用库的问题

通过go list -m -mod=mod -u all命令，发现没有可以升级的包了

去git上找下最近release版本和最新的master代码

在这里插入图片描述

swagger最新的代码，也只是将gin升级到了1.9.0

不是漏洞扫描要求的1.9.1

在这里插入图片描述

这…就得动源码了。。。

（1）将最新代码下载到项目某个子目录下

在这里插入图片描述

（2）手动升级swagger代码中Gin库的引用版本

在这里插入图片描述
在这里插入图片描述

（3）然后修改go.mod文件，将自动引用替换为指定引用：

在这里插入图片描述

（4）执行go mod tidy 和go mod vender

其中，go mod tidy的作用是自检一下修改go.mod文件是否正确；

go mod vendor则基于go.mod文件生成vendor, 即下载对应的内容

执行完后，查看vendor文件夹下的modules.txt文件，看下修改是否生效

在这里插入图片描述

上图则表示，生效了！

（5）执行go build

在这里插入图片描述

看下是否编译通过即可！

swagger引用库的问题解决了
在这里插入图片描述

更多推荐

什么是Jmeter?Jmeter使用的原理步骤是什么？

1.1什么是JMeterApacheJMeter是Apache组织开发的基于Java的压力测试工具。用于对软件做压力测试，它最初被设计用于Web应用测试，但后来扩展到其他测试领域。它可以用于测试静态和动态资源，例如静态文件、Java小服务程序、CGI脚本、Java对象、数据库、FTP服务器，等等。JMeter可以用于对

【Linux】分布式版本控制工具git

​​📝个人主页：@Sherry的成长之路🏠学习社区：Sherry的成长之路（个人社区）📖专栏链接：Linux🎯长路漫漫浩浩，万事皆有期待上一篇博客：【Linux】Linux调试器-gdb文章目录一、前言二、版本控制1、何为版本控制2、版本控制工具①集中式版本控制工具②分布式版本控制工具三、代码托管平台四、Lin

【TAPD】实践：TAPD 项目管理配置

目录一、30人以内团队申请免费企业版（1）首次申请试用期3个月（2）进一步申请免费续期二、成员管理三、用户组管理四、项目管理（1）首个项目配置（2）自定义项目模板（3）二次创建项目五、自定义项目模板好处一、30人以内团队申请免费企业版【Tapd】30人以内团队：申请永久免费的Tapd企业版步骤https://gusan

新款 锐科达 SV-2402VP SIP广播音频模块 支持RTP流音频广播

新款锐科达SV-2402VPSIP广播音频模块支持RTP流音频广播SV-2402VP网络音频模块是一款通用的独立SIP音频功能模块，可以轻松地嵌入到OEM产品中。该模块对来自网络的SIP协议及RTP音频流进行编解码。该模块支持多种网络协议和音频编解码协议，可用于VoIP和IP寻呼以及高质量音乐流媒体播放等应用。同时，S

数字孪生在灌区信息中的应用

灌区信息是智慧水利的组成部分，对灌区现代化改造的支撑作用和地位尤为重要，对促进水利可持续发展有重要意义。灌区信息化系统主要对对灌区的水情、雨情、土壤墒情、气象等信息进行监测，对重点区域进行视频监控，同时对泵站、闸门进行远程控制，实现了信息的测量、统计、分析、控制、调度等功能。为灌区管理部门科学决策提供了依据，提升灌区的

TCP并发服务器的多进程实现与多线程实现

TCP并发服务器的多进程实现与多线程实现一、TCP并发服务器的多进程实现代码#include<my_head.h>#defineSERVER_IP"192.168.125.11"//服务器IP#defineSERVER_PORT6666//服务器端口//子进程处理客户端信息函数intdeal_client_messag

小插曲 -- 使用Linux编写 判断程序是否在运行的小程序

编写思路首先，在执行“ps-elf|grepxxx”时，如果xxx存在，通常会有两条结果，一个是xxx对应的PID，一个则是grep对应的PID，但是如果我希望执行命令后，xxx存在就只有xxx对应的PID，不存在就什么都不显示的话，可以将指令修改成：“ps-elf|grepXXX|grep-vgrep”，这样就可以屏

雷电9模拟器抓包

背景本人一开始使用fiddler，然后使用wireshark。然后一直没能成功对雷电9完成JDapp的抓包任务，后来发现一款新产品Reqable，实现了JD请求抓包。思路经过查找资料，我发现核心思路都相差不大，基本使用模拟器wifi代理+证书的形式，把同一局域网下的请求由本地端口代理，再通过工具进行抓包。实战本文以Re

有多条业务线，mysql建多库多表比较好还是一个库多个表比较好呢？

这个问题的答案取决于您的具体需求。以下是一些需要考虑的因素：数据独立性：如果您的业务线之间的数据是独立的，并且不太可能需要进行跨业务线的查询，那么将它们分成多个数据库可能是有意义的。这样可以使每个业务线的数据更加独立，减少潜在的冲突和竞态条件。查询性能：在某些情况下，将数据分为多个表可能会提高查询性能。例如，如果您的数

Qt(day5)

思维导图将登录操作和数据库绑定mywnd.h#ifndefMYWND_H#defineMYWND_H#include<QMainWindow>#include<QLabel>#include<QLineEdit>#include<QPushButton>#include<QDebug>#include<QMessage

程序人生，中秋共享

程序人生，中秋共享随着科技的迅速发展，中秋节也悄然发生了变化。在这个传统的团圆节日里，程序人生与中秋共享形成了新的气象。在本文中，我将结合自己的职业经历，探讨程序人生与中秋共享之间的联系与意义。【中秋与程序人生的交融】作为程序员，我们每天都在和代码打交道，通过一行行指令来构建世界。然而，在这个机械化的过程中，我们也不忘

热文推荐
  1. Redis 集合（Set）快速指南 | Navicat

    Redis支持通过多种数据类型来存储项目集合。其中，包括列表、集合和哈希。上周的博文介绍了列表（List）数据类型并重点介绍了一些用于管理列表（List）的主要命令。在今天的文章中，我们将转向关注集合（Set）数据类型。在Redis中，集合（Set）与列表（List）相似，但是，集合（Set）中的元素是无序的，并且每个

  2. skywalking入门

    参考：https://www.jianshu.com/p/ffa7ddcda4ab参考：https://developer.aliyun.com/article/1201085skywalking（APM）调用链路分析以及应用监控分析工具Skywalking主要由三大部分组成：agent、collector、webap

  3. 行为型模式-策略模式和责任链模式对比

    一、区别：目的和问题解决方式：策略模式的主要目的是将一组算法或行为封装成独立的策略对象，并使客户端能够在运行时选择其中一个策略来执行。这种模式通常用于实现相同操作的不同算法或策略之间的切换和替换。责任链模式的主要目的是将请求的发送者和接收者解耦，允许多个对象依次处理请求，直到其中一个对象能够处理请求为止。责任链模式通常

  4. opencv dnn模块 示例(16) 目标检测 object_detection 之 yolov4

    博客【opencvdnn模块示例(3)目标检测object_detection(2)YOLOobjectdetection】测试了yolov3及之前系列的模型，有在博客【opencvdnn模块示例(15)opencv4.2版本dnn支持cuda加速（vs2015异常解决）】说明了如何使用dnn模块进行cuda加速推理。

  5. Android 混淆使用及其字典混淆（Proguard）

    1.使用背景ProGuard能够通过压缩、优化、混淆、预检等操作，检测并删除未使用的类,字段,方法和属性，分析和优化字节码，使用简短无意义的名称来重命名类，字段和方法。从而使代码更小、更高效、更难进行逆向工程。Android代码混淆，又称Android混淆，是一种AndroidAPP保护技术，用于保护APP不被破解和逆

  6. css知识学习系列（2）-每天10个知识点

    目录1.基础知识CSS中的伪元素和实际元素有什么区别？2.动画与过渡CSS中的transition和animation有何区别？在什么情况下使用哪种动画？3.Flexbox在Flexbox布局中，“flex-wrap”属性有什么作用？4.Grid请解释CSS中的网格线（gridlines）和轨道（tracks）是什么？

  7. Docker 容器生命周期：创建、启动、暂停与停止

    🌷🍁博主猫头虎带您GotoNewWorld.✨🍁🦄博客首页——猫头虎的博客🎐🐳《面试题大全专栏》文章图文并茂🦕生动形象🦖简单易学！欢迎大家来踩踩~🌺🌊《IDEA开发秘籍专栏》学会IDEA常用操作，工作效率翻倍~💐🌊《100天精通Golang(基础入门篇）》学会Golang语言，畅玩云原生，走遍大

  8. Android设计支持库

    本文所有的代码均存于https://github.com/MADMAX110/BitsandPizzas设计支持库（DesignSupportLibrary）是Google在2015年的I/O大会上发布的全新MaterialDesign支持库，在这个support库里面主要包含了8个新的MaterialDesign组件

  9. C#里面的三种定时计时器：Timer

    在.NET中有三种计时器：1、System.Windows.Forms命名空间下的Timer控件，它直接继承自Componet。Timer控件只有绑定了Tick事件和设置Enabled=True后才会自动计时，停止计时可以用Stop()方法控制，通过Stop()停止之后，如果想重新计时，可以用Start()方法来启动计