Analizador de ofuscación de dependencias de Rust Cargo
Analiza tus archivos Cargo.toml y Cargo.lock en busca de dependencias ofuscadas, intentos de typosquatting, restricciones de versión inusuales y riesgos de cadena de suministro. Nuestro analizador de dependencias de Rust Cargo detecta nombres de crates maliciosos diseñados para parecerse a paquetes populares, marca las dependencias de git y de ruta, y ofrece recomendaciones prácticas. Rápido, seguro y sin registro.
Paste your Cargo.toml or Cargo.lock content to analyze dependencies
The analyzer checks for typosquatting, unusual version constraints, git/path dependencies, and obfuscated package names
Click Load example to try with a sample Cargo.toml
¿Por qué usar nuestro analizador de dependencias de Rust Cargo?
- Detección de typosquatting: detecta automáticamente nombres de dependencias que se parecen mucho a crates populares mediante análisis de similitud de cadenas. Detén los ataques de typosquatting antes de que comprometan tu cadena de suministro.
- Marcado de dependencias inusuales: marca dependencias de git, dependencias de ruta, versiones comodín y otros patrones inusuales que podrían indicar ofuscación o riesgos de cadena de suministro en tus archivos Cargo.toml y Cargo.lock.
- Puntuación de riesgo de seguridad: cada dependencia recibe una puntuación de riesgo con explicaciones detalladas. Prioriza qué dependencias investigar primero con niveles de gravedad codificados por colores y recomendaciones prácticas.
- Análisis completo de Cargo: analiza ambos formatos, Cargo.toml y Cargo.lock. Detecta crates obsoletos, especificadores de versión inusuales, URL de origen sospechosas y nombres de paquetes ofuscados. Todo el procesamiento es local y privado.
Casos de uso habituales del análisis de dependencias de Rust Cargo
- Auditoría de seguridad de la cadena de suministro: antes de añadir una nueva dependencia, analiza tu Cargo.toml en busca de riesgos de typosquatting. Detecta crates maliciosos que usan nombres visualmente similares a paquetes populares como serde, tokio o reqwest.
- Revisión de dependencias previa al lanzamiento: ejecuta el analizador como parte de tu proceso de revisión de código. Marca dependencias de git fijadas a ramas en lugar de etiquetas, dependencias de ruta que deberían publicarse y restricciones de versión comodín.
- Evaluación de dependencias de código abierto: al evaluar proyectos Rust de terceros, examina su Cargo.toml en busca de patrones sospechosos. Detecta posibles vectores de malware antes de integrar el proyecto en tu canal de compilación.
- Integración en la canalización de CI/CD: usa el analizador para validar las configuraciones de dependencias en tu pipeline de CI. Detecta dependencias de ruta confirmadas por error, dependencias de git solo de depuración o referencias de crates ofuscadas.
- Comprobaciones de cumplimiento empresarial: asegúrate de que todas las dependencias de tu monorepo de Rust sigan las directrices corporativas. Detecta dependencias de git no autorizadas, versiones de crates obsoletas y paquetes de registros no confiables.
- Mantenimiento y limpieza de crates: examina periódicamente tu Cargo.lock en busca de crates abandonados o retirados. Identifica dependencias sin actualizaciones recientes que puedan contener vulnerabilidades sin parchear o haber sido renombradas.
Preguntas frecuentes
La ofuscación de dependencias de Cargo se refiere a técnicas que camuflan dependencias maliciosas o sospechosas en proyectos Rust. Puede incluir typosquatting (registrar nombres de crates similares a los populares, como una variante de «serde»), usar homoglifos Unicode en los nombres de paquetes, ocultar dependencias de git con comentarios engañosos o especificar restricciones de versión que permitan instalar versiones comprometidas.
Los atacantes registran nombres de crates casi idénticos a los populares intercambiando letras, añadiendo sufijos o usando caracteres Unicode que se parecen. Nuestro analizador detecta estos patrones comparando los nombres de las dependencias con una lista seleccionada de los crates de Rust más populares mediante análisis de similitud de cadenas. También comprueba si hay caracteres homoglifos y Unicode invisible.
Las versiones comodín como «*» o «1.*» se marcan porque pueden traer cambios de ruptura inesperados. Las dependencias de git fijadas a ramas (no a etiquetas ni a commits) se marcan porque pueden cambiar sin previo aviso. Las dependencias de ruta que apuntan fuera del proyecto o a directorios inesperados también se marcan como patrones inusuales.
Las dependencias de git eluden las comprobaciones de seguridad de crates.io y pueden introducir código no confiable directamente desde repositorios. Son especialmente arriesgadas cuando se fijan a una rama, porque el código puede cambiar con cada git push. Incluso las dependencias de git fijadas a un commit deben revisarse con cuidado, ya que pueden contener código no verificado fuera del ecosistema de crates.io.
Si el analizador marca una dependencia, primero verifica el nombre del crate en crates.io para confirmar que es el paquete legítimo. Comprueba el autor, la URL del repositorio y el número de descargas. En el caso de dependencias de git, verifica el propietario del repositorio y revisa el commit fijado. Si sospechas de typosquatting, busca diferencias Unicode copiando el nombre en un inspector de Unicode.
Totalmente. Todo el análisis se realiza localmente en tu navegador mediante JavaScript. Tu Cargo.toml, tu Cargo.lock o cualquier otro contenido de archivo que pegues nunca sale de tu dispositivo. No se sube, almacena ni transmite ningún dato. No se requiere cuenta ni registro.
El analizador marca las restricciones de versión que hacen referencia a patrones conocidos de crates retirados y resalta versiones inusualmente antiguas de crates populares. Para una comprobación completa contra el registro activo de crates.io, necesitarías usar cargo deny o cargo audit. Esta herramienta ofrece un análisis offline rápido y centrado en la privacidad para detectar riesgos evidentes.
Sí, el analizador acepta tanto contenido de Cargo.toml como de Cargo.lock. Los archivos Cargo.lock son especialmente útiles para detectar árboles de dependencias que incluyen dependencias transitivas con nombres o fuentes sospechosos. Puedes pegar Cargo.toml y Cargo.lock juntos para obtener una imagen completa de la salud de tus dependencias.
Sí, 100 % gratis. No requiere registro, no hay plan premium, no hay límites de uso ni restricciones de tamaño de archivo. La herramienta se ejecuta enteramente en tu navegador y siempre será gratuita en Aback Tools.