Анализатор обфускации зависимостей Rust Cargo
Анализируйте свои файлы Cargo.toml и Cargo.lock на обфусцированные зависимости, попытки тайпсквоттинга, необычные ограничения версий и риски цепочки поставок. Наш анализатор зависимостей Rust Cargo обнаруживает вредоносные имена крейтов, замаскированные под популярные пакеты, отмечает git-зависимости и зависимости по путям и даёт практические рекомендации. Быстро, безопасно и без регистрации.
Paste your Cargo.toml or Cargo.lock content to analyze dependencies
The analyzer checks for typosquatting, unusual version constraints, git/path dependencies, and obfuscated package names
Click Load example to try with a sample Cargo.toml
Почему стоит использовать наш анализатор зависимостей Rust Cargo?
- Обнаружение тайпсквоттинга: автоматически выявляет имена зависимостей, сильно напоминающие популярные крейты, с помощью анализа схожести строк. Остановите атаки тайпсквоттинга до того, как они скомпрометируют вашу цепочку поставок.
- Отметка необычных зависимостей: отмечает git-зависимости, зависимости по путям, версии с подстановочными знаками и другие необычные шаблоны, которые могут указывать на обфускацию или риски цепочки поставок в ваших файлах Cargo.toml и Cargo.lock.
- Оценка риска безопасности: каждая зависимость получает оценку риска с подробными пояснениями. Расставляйте приоритеты, какие зависимости проверить первыми, благодаря цветовым уровням серьёзности и практическим рекомендациям.
- Комплексный анализ Cargo: анализирует оба формата — Cargo.toml и Cargo.lock. Обнаруживает устаревшие крейты, необычные указатели версий, подозрительные URL источников и обфусцированные имена пакетов. Вся обработка локальна и приватна.
Типичные сценарии анализа зависимостей Rust Cargo
- Аудит безопасности цепочки поставок: перед добавлением новой зависимости проанализируйте свой Cargo.toml на риски тайпсквоттинга. Выявляйте вредоносные крейты, использующие визуально похожие имена популярных пакетов, таких как serde, tokio или reqwest.
- Проверка зависимостей перед релизом: запускайте анализатор в рамках процесса ревью кода. Отмечайте git-зависимости, привязанные к веткам вместо тегов, зависимости по путям, которые должны быть опубликованы, и версии с подстановочными знаками.
- Оценка зависимостей с открытым исходным кодом: при изучении сторонних проектов на Rust просматривайте их Cargo.toml на подозрительные шаблоны. Выявляйте возможные векторы вредоносного ПО до интеграции проекта в ваш конвейер сборки.
- Интеграция в конвейер CI/CD: используйте анализатор для проверки конфигураций зависимостей в вашем CI-конвейере. Выявляйте случайно закоммиченные зависимости по путям, отладочные git-зависимости или обфусцированные ссылки на крейты.
- Проверки корпоративного соответствия: убедитесь, что все зависимости в вашем Rust-монорепозитории соответствуют корпоративным правилам. Выявляйте несанкционированные git-зависимости, устаревшие версии крейтов и пакеты из недоверенных реестров.
- Поддержка и очистка крейтов: регулярно проверяйте свой Cargo.lock на заброшенные или отозванные крейты. Находите зависимости без недавних обновлений, которые могут содержать неисправленные уязвимости или быть переименованными.
Часто задаваемые вопросы
Обфускация зависимостей Cargo — это приёмы, маскирующие вредоносные или подозрительные зависимости в проектах на Rust. К ним относятся тайпсквоттинг (регистрация имён крейтов, похожих на популярные, например вариант «serde»), использование Unicode-гомоглифов в именах пакетов, сокрытие git-зависимостей за вводящими в заблуждение комментариями или указание ограничений версий, допускающих установку скомпрометированных версий.
Злоумышленники регистрируют имена крейтов, почти идентичные популярным, переставляя буквы, добавляя суффиксы или используя похожие символы Unicode. Наш анализатор выявляет такие шаблоны, сравнивая имена зависимостей с отобранным списком самых популярных крейтов Rust методом анализа схожести строк. Он также проверяет наличие гомоглифов и невидимых символов Unicode.
Версии с подстановочными знаками, такие как «*» или «1.*», отмечаются, поскольку они могут привнести неожиданные несовместимые изменения. Git-зависимости, привязанные к веткам (а не к тегам или коммитам), отмечаются, потому что могут меняться без предупреждения. Зависимости по путям, указывающим за пределы проекта или на неожиданные каталоги, также отмечаются как необычные шаблоны.
Git-зависимости обходят проверки безопасности crates.io и могут вносить недоверенный код напрямую из репозиториев. Особенно рискованны они при привязке к ветке, поскольку код может меняться с каждым git push. Даже git-зависимости, привязанные к коммиту, следует внимательно проверять: они могут содержать непроверенный код за пределами экосистемы crates.io.
Если анализатор отметил зависимость, сначала проверьте имя крейта на crates.io, чтобы убедиться, что это легитимный пакет. Проверьте автора, URL репозитория и число загрузок. Для git-зависимостей проверьте владельца репозитория и изучите привязанный коммит. Если подозреваете тайпсквоттинг, проверьте различия Unicode, скопировав имя в инспектор Unicode.
Абсолютно. Весь анализ выполняется локально в вашем браузере с помощью JavaScript. Ваш Cargo.toml, Cargo.lock или любой другой вставленный содержимое файла никогда не покидает устройство. Никакие данные не загружаются, не сохраняются и не передаются. Учётная запись и регистрация не требуются.
Анализатор отмечает ограничения версий, ссылающиеся на известные шаблоны отозванных крейтов, и выделяет необычно старые версии популярных крейтов. Для полной проверки по актуальному реестру crates.io понадобились бы cargo deny или cargo audit. Этот инструмент даёт быстрый офлайн-анализ с приоритетом приватности для выявления очевидных рисков.
Да, анализатор принимает содержимое как Cargo.toml, так и Cargo.lock. Файлы Cargo.lock особенно полезны для обнаружения деревьев зависимостей, включающих транзитивные зависимости с подозрительными именами или источниками. Можно вставить Cargo.toml и Cargo.lock вместе, чтобы получить полную картину состояния зависимостей.
Да, на 100 % бесплатный. Регистрация не нужна, нет премиум-тарифа, ограничений использования и ограничений на размер файла. Инструмент работает полностью в вашем браузере и всегда будет бесплатным на Aback Tools.