chaitin/veinmind-tools

veinmind-tools 是由长亭科技自研，基于 veinmind-sdk 打造的容器安全工具集

veinmind-tools

Documentation

veinmind-tools 是由长亭科技自研，牧云团队孵化，基于 veinmind-sdk 打造的容器安全工具集

veinmind, 中文名为问脉，寓意 容器安全见筋脉，望闻问切治病害。 旨在成为云原生领域的一剂良方

中文文档 | English

🔥 Demo

问脉已接入 openai, 可以使用 openai 对扫描的结果进行人性化分析，让您更加清晰的了解本次扫描发现了哪些风险。

🕹️ 快速开始

1. 确保机器上正确安装 docker

docker info

2. 安装 veinmind-runner 镜像

docker pull registry.veinmind.tech/veinmind/veinmind-runner:latest

3. 下载 veinmind-runner 平行容器启动脚本

wget -q https://download.veinmind.tech/scripts/veinmind-runner-parallel-container-run.sh -O run.sh && chmod +x run.sh

4. 快速扫描本地镜像/容器

./run.sh scan [image/container]

5. 使用 openAI 智能分析

./run.sh scan [image/container] --enable-analyze --openai-token  <your_openai_token>

注: 使用 openAI 时，请确保当前网络能够访问openAI 平行容器启动时，需要手动通过 docker run -e http_proxy=xxxx -e https_proxy=xxxx 设置代理（非全局代理的场景下）

6. 生成 报告

./run.sh scan [image/container] --format=html,cli

报告将在当前目录下生成一个report.html或report.json 可以通过,来传入多个报告格式，如--format=html,cli,json将输出三份不同的报告。

🔨 工具列表

工具	功能
veinmind-runner	扫描工具运行宿主
veinmind-malicious	扫描容器/镜像中的恶意文件
veinmind-weakpass	扫描容器/镜像中的弱口令
veinmind-log4j2	扫描容器/镜像中的log4j2漏洞
veinmind-minio	扫描容器/镜像中的minio漏洞
veinmind-sensitive	扫描镜像中的敏感信息
veinmind-backdoor	扫描镜像中的后门
veinmind-history	扫描镜像中的异常历史命令
veinmind-vuln	扫描容器/镜像中的资产信息和漏洞
veinmind-webshell	扫描镜像中的 Webshell
veinmind-unsafe-mount	扫描容器中的不安全挂载目录
veinmind-iac	扫描镜像/集群的IaC文件
veinmind-escape	扫描容器/镜像中的逃逸风险
veinmind-privilege-escalation	扫描容器/镜像中的提权风险
veinmind-trace	扫描容器中的入侵痕迹

PS: 目前所有工具均已支持平行容器的方式运行

🧑‍💻 编写插件

可以通过 example 快速创建一个 veinmind-tools 插件, 具体查看 veinmind-example

☁️ 云原生设施兼容性

名称	类别	是否兼容
Jenkins	CI/CD	✔️
Gitlab CI	CI/CD	✔️
Github Action	CI/CD	✔️
DockerHub	镜像仓库	✔️
Docker Registry	镜像仓库	✔️
Harbor	镜像仓库	✔️
Docker	容器运行时	✔️
Containerd	容器运行时	✔️
Kubernetes	集群	✔️

🛴 工作原理

🏘️ 联系我们

1. 您可以通过 GitHub Issue 直接进行 Bug 反馈和功能建议。
2. 扫描下方二维码可以通过添加问脉小助手，以加入问脉用户讨论群进行详细讨论

✨ CTStack

veinmind-tools 现已加入 CTStack 社区

✨ 404星链计划

veinmind-tools 现已加入 404星链计划

✨ Star History

veinmind-tools's Issues

希望支持mysql8版本的caching_sha2_password弱密码检测，减少漏报

检测mysql弱密码出现较多漏报

情况如下
查看项目代码，是在8版本的数据库文件mysql.ibd读取进行检测，并且只支持插件mysql_native_password，但是8版本默认的密码插件是caching_sha2_password，会有多个密码账号配置跳过该弱密码检测。对于8以下mysql版本，密钥文件存储于user.myd文件，默认插件是mysql_native_password。

希望支持mysql8版本的caching_sha2_password弱密码检测

适配 harbor 镜像扫描

这个是直接作为插件安装到harbor中吗？类似于trivy吗？

能扫网站吗，我看好像不可以

能扫网站吗

./run.sh运行报错：Error: readlink /host/proc/1/ns/pid: permission denied

Bug 具体描述
./run.sh scan container ea7d6c3d7bc7直接报错：Error: readlink /host/proc/1/ns/pid: permission denied

复现步骤

1. 拉取镜像
   docker pull registry.veinmind.tech/veinmind/veinmind-runner:latest
2. 下载 [veinmind-runner]平行容器启动脚本
   wget -q https://download.veinmind.tech/scripts/veinmind-runner-parallel-container-run.sh -O run.sh && chmod +x run.sh
3. 扫描本地容器，出现错误

$ ./run.sh scan container ea7d6c3d7bc7
Error: readlink /host/proc/1/ns/pid: permission denied
Usage:
  veinmind-runner scan container [flags] target

Examples:

1. scan dockerd container (all)
veinmind-runner scan container dockerd:*

相关截图

环境

• linux：Ubuntu 18.04.6
• Docker 版本: Docker version 20.10.21
• libveinmind 版本:
• 问脉镜像版本:
• 代码版本:

补充说明
查看了下run.sh文件，内容如下：

#!/bin/bash

docker run --rm -v /:/host -v `pwd`:/tool/resource -v /var/run/docker.sock:/var/run/docker.sock registry.veinmind.tech/veinmind/veinmind-runner $*

加上特权参数--privileged后运行就可以了。

不能生成Json格式的结果

Bug 具体描述
veinmind-tools 不能更改检测果内容的格式
复现步骤

1. ./veinmind-run.sh scan image a2127c821068 -o json
2. veinmind-run.sh 中的内容为：'#!/bin/bash

docker container run --rm -v /:/host -v pwd:/tool/resource -v /var/run/docker.sock:/var/run/docker.sock registry.veinmind.tech/veinmind/veinmind-runner $*'

相关截图

环境

• Docker 版本: 24.0.2
• libveinmind 版本: libveinmind-devel-1.9.21-1.x86_64
• 问脉镜像版本:latest
• 代码版本:

建议增加结果导出格式sarif

建议增加结果导出格式sarif。
https://github.com/microsoft/sarif-tutorials/blob/main/docs/1-Introduction.md

敏感信息扫描单个大文件时内存占用太多

Bug 具体描述
当扫描镜像的某个巨大的文件时，内存占用很大
复现步骤
1.python3 /opt/veinmind-tools/plugins/python/veinmind-sensitive/scan.py scan-images xxx

相关截图

Readme教程报错：overlay2/imagedb/content: no such file or directory

按照Readme文档无法扫描，报错如下：
Error: list image dir: open /host/var/lib/docker/image/overlay2/imagedb/content: no such file or directory

docker信息如下：

操作系统：Linux-3.10.0-1160.15.2.el7.x86_64-x86_64-with-centos-7.9.2009-Core

wsl2 无法使用

wsl2环境
docker 20.10.7

执行 ./run.sh scan-host、

提示：
docker: Error response from daemon: path / is mounted on / but it is not a shared mount.
See 'docker run --help'.

panic: runtime error: invalid memory address or nil pointer dereference

Bug 具体描述

复现步骤
docker run --rm --mount 'type=bind,source=/,target=/host,readonly,bind-propagation=rslave' --privileged veinmind-backdoor scan container

相关截图
panic: runtime error: invalid memory address or nil pointer dereference
[signal SIGSEGV: segmentation violation code=0x1 addr=0x0 pc=0x1e9a83f]

goroutine 1 [running]:
github.com/chaitin/veinmind-tools/plugins/go/veinmind-backdoor/service.rootkitContainerCheck({0x7fab80517148, 0xc000442000})
github.com/chaitin/veinmind-tools/plugins/go/veinmind-backdoor/service/rootkit.go:217 +0x19f
github.com/chaitin/veinmind-tools/plugins/go/veinmind-backdoor/utils.ContainersScanRun({0x25406d0?, 0xc000442000})
github.com/chaitin/veinmind-tools/plugins/go/veinmind-backdoor/utils/utils.go:26 +0x105
main.scanContainer(0xc00049a8e0?, {0x25406d0, 0xc000442000})
./cli.go:82 +0x45
github.com/chaitin/libveinmind/go/cmd.(*Index).MapContainerCommand.func1.1({0x253b240?, 0xc00049a8e0?}, 0xe18c01?, 0x23a9f60, 0xc53d46?)
github.com/chaitin/[email protected]/go/cmd/container.go:127 +0xc6
github.com/chaitin/libveinmind/go/cmd.(*Index).MapContainerCommand.func1(0x1fa6980?, {0x253b240, 0xc00049a8e0}, {0xc0000b6200?, 0x1f, 0xc0000f9be0?})
github.com/chaitin/[email protected]/go/cmd/container.go:128 +0xb3
github.com/chaitin/libveinmind/go/cmd.(*Index).MapContainerIDsCommand.func1(0x0?, {0x324c6c0, 0x0, 0x3000000000000000?}, {0x21e7980?, 0xc00049a8e0?})
github.com/chaitin/[email protected]/go/cmd/container.go:98 +0x22a
github.com/chaitin/libveinmind/go/cmd.dockerMode.Invoke({}, 0xc0000f9c98?, {0x324c6c0, 0x0, 0x0}, 0xc0004321e0)
github.com/chaitin/[email protected]/go/cmd/docker.go:64 +0xfa
github.com/chaitin/libveinmind/go/cmd.(*Index).MapModeCommand.func1(0x0?, {0x324c6c0, 0x0, 0x0})
github.com/chaitin/[email protected]/go/cmd/mode.go:75 +0xb6
github.com/chaitin/libveinmind/go/cmd.(*Index).MapPluginCommand.func1(0x313b380?, {0x324c6c0?, 0x0?, 0x0?})
github.com/chaitin/[email protected]/go/cmd/index.go:140 +0xa7
github.com/spf13/cobra.(*Command).execute(0x313b380, {0x324c6c0, 0x0, 0x0})
github.com/spf13/[email protected]/command.go:916 +0x862
github.com/spf13/cobra.(*Command).ExecuteC(0x321c0a0)
github.com/spf13/[email protected]/command.go:1040 +0x3b4
github.com/spf13/cobra.(*Command).Execute(...)
github.com/spf13/[email protected]/command.go:968
main.main()
./cli.go:132 +0x25

环境(空项可以不填)

• Docker 版本: Docker version 26.1.3, build b72abbb
• libveinmind 版本:最新版

veinmind-asset 提供平行容器运行脚本

use GPT-4 model

add support for GPT-4 model in https://github.com/chaitin/veinmind-tools/tree/master/veinmind-runner/pkg/sdk

可以想办法集成到harbor 里用 这个用的比较多

Make all编译失败，没有错误提示

如图，编译失败后没有任何错误提示：

go 版本是1.20
环境是centos7

请问如何解决？

需求：希望支持DeviceMapper存储驱动

如题

希望有个全插件版本

目前的插件都需要一个个装，命令也是一条一条敲，能否将所有插件整合到主程序runner里，用一条命令扫描所有插件，或者支持用参数来选择插件。
谢谢

导出报告

Available Commands:
analyze Analyze Veinmind Report With OpenAI.
authz Authz as docker plugin
completion Generate the autocompletion script for the specified shell
generate Generate relevant information
help Help about any command
list List relevant information
scan Scan cloud native objects security, include image/container/iac

Flags:
-e, --exit-code int exit-code when veinmind-runner find security issues
-g, --glob string specifies the pattern of plugin file to find
-h, --help help for veinmind-runner
-o, --output string output filepath of report
--threads int threads for scan action (default 5)

flag -o好像没用，只能在本地导出report.json，可以自定义导出报告路径么？

使用aws 和azure云主机扫描image时，死机，登不上

Bug 具体描述

复现步骤

1. Go to '...'
2. Click on '....'
3. Scroll down to '....'
4. See error

相关截图

环境(空项可以不填)

• Docker 版本:
• libveinmind 版本:
• 问脉镜像版本:
• 代码版本:

补充说明
主机：1 vcpu，1 GiB 内存

# sh ../scripts/build/build_veinmind_weakpass_amd64.sh

named files must be .go files: ./artifacts/-/veinmind-weakpass__
这个问题要怎么解决下，之前的版本还是可以执行的

怎么集成到Gitlab CI?

怎么集成到Gitlab CI扫描中?

希望可以有一个静态编译all in one的版本

下载了release的文件并且配置了libveinmind依赖，但还是有依赖问题

希望可以有一个all in one不需要libveinmind且静态编译的版本，这样其他项目可以更好地集成

本地harbor无法扫描

无-c参数只能-p +密码 -u +用户名，但是出现扫描不成功

./run.sh scan image 如果添加多个target

请问扫描镜像如何添加多个target

拉取最新镜像 Error: probe docker rootfs: stat /host/host/var/lib/docker: no such file or directory

Bug 具体描述

复现步骤

1. 拉取最新镜像
   veinmind/veinmind-runner latest 6fc7c3f031f7 42 hours ago 1.41GB

扫描目标本地镜像
nvidia/cuda:12.1.0-runtime-ubuntu20.04

相关截图

做了软链接：

环境(空项可以不填)

• Docker 版本:
  Client: Docker Engine - Community
  Version: 19.03.2
  API version: 1.40
  Go version: go1.12.8
  Git commit: 6a30dfc
  Built: Thu Aug 29 05:28:55 2019
  OS/Arch: linux/amd64
  Experimental: false

Server: Docker Engine - Community
Engine:
Version: 19.03.2
API version: 1.40 (minimum version 1.12)
Go version: go1.12.8
Git commit: 6a30dfc
Built: Thu Aug 29 05:27:34 2019
OS/Arch: linux/amd64
Experimental: true
containerd:
Version: 1.2.6
GitCommit: 894b81a4b802e4eb2a91d1ce216b8817763c29fb
runc:
Version: 1.0.0-rc8
GitCommit: 425e105d5a03fabd737a126ad93d62a9eeede87f
docker-init:
Version: 0.18.0
GitCommit: fec3683

• libveinmind 版本:
• 问脉镜像版本: last
• 代码版本:

docker info :
Docker Root Dir: /home/docker-data
Debug Mode: false
补充说明

期待可以扫描文件系统

GitHub Actions运行错误

Github Actions运行错误
- name: Run veinmind-tools to scan image uses: chaitin/veinmind-action@main with: scan-action: scan-host image-ref: '${{ env.ECR_REGISTRY }}/${{ env.APP_NAME }}:latest-release'

veinmind-iac_linux_amd64 scan iac 扫描报错 ERRO[0000] un support iac type

Bug 具体描述
veinmind-iac_linux_amd64 scan iac 扫描代码项目报错 ERRO[0000] un support iac type
复现步骤
/veinmind-iac_linux_amd64 scan iac cmn_promotion -f json project

相关截图

补充说明
镜像代码project 存在多种形式文件时报错。无法指定输出json或html文件。

数组越界 veinmind-escape工具

Bug 具体描述

复现步骤
docker run --rm --mount 'type=bind,source=/,target=/host,readonly,bind-propagation=rslave' --privileged veinmind-escape scan container xxxxxxx

相关截图

环境(空项可以不填)

• Docker 版本: Docker version 26.1.3, build b72abbb
• libveinmind 版本:最新版
• 问脉镜像版本:最新版
• 代码版本:

这么编译veinmind-tools的源文件？

debian下载了veinmind-tools的源文件要怎么编译呀？

目前不支持插件的非通用化参数

runner集成了weakpass等插件，但是不支持weakpass的自定义字典等非通用化参数设置

[需求]增加支持docker自定义目录

背景

由于/目录磁盘有限，磁盘上挂载/home下，docker 目录非默认/var/lib/docker，系统能够支持自定义目录

信息

Docker Root Dir: /home/docker_data
Debug Mode: false

veinmind-unsafe-mount 无法扫描全部容器

Bug 具体描述
└─# ./veinmind-unsafe-mount scan container
INFO[0000] start scan container unsafe mount: 00b4f49c139b2798ab8af43e9cc45ebd7407ef030be4fa54f806d6d7e247b923
Error: container: container not running, can't get oci spec
Usage:
scan container [flags]

Flags:
--containerd[=true] specify "containerd" as the mode in use
--containerd-config string flag "--config" or "-c" specified to containerd command
--containerd-root string flag "--root" specified to the containerd command
--containerd-unique-desc string unique descriptor of the containerd daemon
--docker[=true] specify "docker" as the mode in use
--docker-config-file string flag "--config-file" specified to the dockerd command
--docker-data-root string flag "--data-root" specified to the dockerd command
--docker-unique-desc string unique descriptor of the docker daemon
-f, --format , cli/json/html, support multiple with , split (default "cli")
-h, --help help for container
--host stringArray the URL of host communication file
--id whether fully qualified ID is specified
--in-cluster string flag "--in-cluster" specified in-cluster
--kube-config-bytes string flag "--kube-config-bytes" specified kube config bytes
--kube-config-path string flag "--kube-config-path" specified kube config
--kubernetes[=true] specify "kubernetes" as the mode in use
-m, --mode string select mode to retrieve root object (default "docker")
--remote[=true] specify "remote" as the mode in use
--remote-root string remote manager system data root
--tarball[=true] specify "tarball" as the mode in use
--tarball-root string tarball manager system data root
-v, --verbose show detail info at cli

复现步骤

相关截图

环境(空项可以不填)

• Docker 版本: Docker version 20.10.25+dfsg1, build b82b9f3
• libveinmind 版本:最新
• 问脉镜像版本:最新
• 代码版本:

补充说明
└─# cat /proc/version
Linux version 6.1.0-kali9-amd64 ([email protected]) (gcc-12 (Debian 12.2.0-14) 12.2.0, GNU ld (GNU Binutils for Debian) 2.40) #1 SMP PREEMPT_DYNAMIC Debian 6.1.27-1kali1 (2023-05-12)

请教一下，iac扫描结果中的描述（desc）和修改方案（solution）的来源库是什么？存在哪里？

如题，是否有公共开源可查看的资源库？

希望有个全插件版本

目前的插件都需要一个个装，命令也是一条一条敲，能否将所有插件整合到主程序runner里，用一条命令扫描所有插件，或者支持用参数来选择插件。
谢谢

debain系统的系统用户弱密码检测不出来

/opt/veinmind-tools/veinmind-weakpass/artifacts/linux-amd64/veinmind-weakpass_linux_amd64 scan 192.168.1.94:443/library/test_weakpass:0.1
INFO[0002] Start Scan Image SSH Weakpass: 192.168.1.94:443/library/test_weakpass:0.1

============================================================================================

| Scan Total: 1 |
| Spend Time: 2.159982615s |
| Weakpass Image Total: 0 |
| Weakpass Total: 0 |
+----------------------------------------------------------------------------------------------+

============================================================================================

cat /etc/shadow

root::19139:0:99999:7:::
daemon::19139:0:99999:7:::
bin::19139:0:99999:7:::
sys::19139:0:99999:7:::
sync::19139:0:99999:7:::
games::19139:0:99999:7:::
man::19139:0:99999:7:::
lp::19139:0:99999:7:::
mail::19139:0:99999:7:::
news::19139:0:99999:7:::
uucp::19139:0:99999:7:::
proxy::19139:0:99999:7:::
www-data::19139:0:99999:7:::
backup::19139:0:99999:7:::
list::19139:0:99999:7:::
irc::19139:0:99999:7:::
gnats::19139:0:99999:7:::
nobody::19139:0:99999:7:::
_apt:*:19139:0:99999:7:::
nginx:!:19140:0:99999:7:::
test:$y$j9T$c/zxurpmCyM0ACN53Rsnl.$/a3a7ZXTmnZgaIFeUMB21pECYdoU.y.UJQlAULHs9/7:19191:0:99999:7:::

test用户的密码是123456

ModuleNotFoundError: No module named 'report'

Bug 具体描述
Traceback (most recent call last):
File "scan.py", line 14, in
from report import *
ModuleNotFoundError: No module named 'report'

复现步骤

1. 进入veinmind-backdoor
2. 执行 pip install -r requirements.txt 成功
3. python3 scan.py scan-images 192.168.1.94:443/library/av:0.5 报错
4. See error
   Traceback (most recent call last):
   File "scan.py", line 14, in
   from report import *
   ModuleNotFoundError: No module named 'report'

相关截图

环境(空项可以不填)

• Docker 版本:
• libveinmind 版本:veinmind==1.1.0
• 问脉镜像版本:
• 代码版本: master

补充说明

在CentOS Linux release 7.6.1810 (Core)系统上运行Ubuntu 20.04.4 LTS容器后，运行木马病毒程序，拿到的文件创建时间FileCreated不对

这个镜像是8月3号创建的

# sh ../scripts/build/build_veinmind_weakpass_amd64.sh 报错

错误如下：

github.com/chaitin/libveinmind/go/pkg/binding

/root/GOPATH/pkg/mod/github.com/chaitin/[email protected]/go/pkg/binding/functions.go:273:3: not enough arguments in call to (_Cfunc_veinmind_DockerNew)
have (_Ctype_ulong)
want (_Ctype_ulong, _Ctype_ulong)
/root/GOPATH/pkg/mod/github.com/chaitin/[email protected]/go/pkg/binding/functions.go:314:3: not enough arguments in call to (_Cfunc_veinmind_ContainerdNew)
have (_Ctype_ulong)
want (_Ctype_ulong, _Ctype_ulong)

系统：Ubuntu 20.04.4 LTS \n \l

Test

Bug 具体描述

复现步骤

1. Go to '...'
2. Click on '....'
3. Scroll down to '....'
4. See error

相关截图

环境(空项可以不填)

• Docker 版本:
• libveinmind 版本:
• 问脉镜像版本:
• 代码版本:

补充说明

make plugin LANG=go NAME=test PUB=no

Bug 具体描述

make plugin.init Language=go Name=test Pub=no

make: *** No rule to make target 'plugin.init'. Stop.

补充说明
没有同步修改，makefile中使用的LANG、NAME、PUB参数

期待支持扫描指定仓库的镜像

要是能够支持扫描指定仓库的镜像就更好啦

无法运行，提示：Error: probe docker rootfs: stat /host/var/lib/docker: no such file or directory

按照教程，下载run.sh，然后 ./run.sh scan image dockerd:nginx:latest
Error: probe docker rootfs: stat /host/var/lib/docker: no such file or directory

/var/lib/docker 目录是存在的，只不过是软连接

sys.path 的路径不对问题

../veinmind-common/python/service 跳一层应该是不够的

本地测试

针对于dockerfile扫描，希望开源hub.docker.com中扫描到的恶意镜像列表

业务场景中，会存在研发人员自主构建基础镜像的情况。此时如果对dockerfile扫描，着重看FROM的镜像源，研判是否为恶意，可在镜像构建前阻断使用恶意镜像二次构建的基础镜像。
希望可以开源hub.docker.com中扫描到的恶意镜像列表，然后大家一块维护该列表。

asset扫描的输出文件问题

https://github.com/chaitin/veinmind-tools/blob/master/plugins/go/veinmind-asset/utils/report.go#L77

输出文件固定为当前目录的report.json文件

func OutputJSON(res []model.ScanImageResult) error {
	var jsonFile *os.File
	var name = "report.json"
        // ...
}

通过平行容器扫描无法得到输出文件

docker run --rm -it --mount 'type=bind,source=/,target=/host,readonly,bind-propagation=rslave' veinmind/veinmind-asset scan 33f2d4bf4fa9 -f json

应该加一个参数

Could not find a version that satisfies the requirement click==8.03

我在使用 pip install -r requirements.txt 时出现以上问题，我需要怎么解决呢？

希望提供mac版本

希望提供mac版本，方便本地进行测试