killvxk 检测 CI/CD 中的供应链攻击
使用说明
通过解析 GitHub Actions YAML 文件，检查未固定的依赖、脚本注入向量和密钥泄露，扫描 CI/CD 工作流文件中的供应链风险。
import yaml
from pathlib import Path
for wf in Path(".github/workflows").glob("*.yml"):
with open(wf) as f:
workflow = yaml.safe_load(f)
for job_name, job in workflow.get("jobs", {}).items():
for step in job.get("steps", []):
uses = step.get("uses", "")
if uses and "@" in uses and not uses.split("@")[1].startswith("sha"):
print(f"Unpinned action: {uses} in {wf.name}")
关键供应链风险：
- 未固定到 SHA 的 GitHub Actions（使用 @main 而非提交哈希）
- 通过
${{ github.event }}表达式的脚本注入 - GITHUB_TOKEN 权限过于宽松
- 对仓库有写入权限的第三方 Action
- 通过公有/私有包名冲突的依赖混淆
示例
# 检查 run 步骤中的脚本注入
for step in job.get("steps", []):
run_cmd = step.get("run", "")
if "${{" in run_cmd and "github.event" in run_cmd:
print(f"Script injection risk: {run_cmd[:80]}")