今天，天气转凉。无法外出浪荡，只得心血来潮码码码~

一、Jenkins、SonarQube和MobSF骚骚引荐一哈

Jenkins：

Jenkins大叔长这样

Jenkins其实是一个开源软件项目，是基于Java开发的一种持续集成工具，用于监控持续重复的工作，旨在提供一个开放易用的软件平台，使软件的持续集成变成可能。

SonarQube:

SonarQube是一个代码质量管理的开源平台，用于管理源代码质量。它通过插件的形式可以支持包括Java、C#、C/C++、JS等等二十多种开发语言的代码质量管理和检测。

MobSF:

移动安全框架 (MobSF) 是一个智能化、一体化的开源移动应用（Android / iOS）自动测试框架，能够对以上两种移动应用进行静态和动态分析（动态分析目前暂时只支持Android）。它可以有效、快速地对应用APK 和IPA文件 及压缩的源代码进行审计分析。同时，MobSF 也能够通过其API Fuzzer功能模块，对 Web API 的安全性进行检测，如收集信息，分析安全头部信息，识别移动API 的具体漏洞，如XXE、SSRF、路径遍历，IDOR以及其他的与会话和API调用速率限制有关的逻辑问题。

二、先瞅瞅Jenkins、SonarQube和MobSF怎么个合作方式

第一种方式，是GitLab、Jenkins和SonarQube、MobSF合作

App CI/CD workflow 1.png

第二种方式，是GitLab、SonarQube、MobSF和其他第三方CI/CD服务商合作，当然它是要收费的

App CI/CD workflow 2.png

三、如何在Jenkins打包Job中配置SonarQube

3.1 初始化操作

最简单的你看这篇文章最起码的Jenkins得部署好吧，Jenkins 应用打包服务Job弄好了吧？，SonarQube部署好了吧？如果没有请度娘下安装部署教程，都部署好了再来看看这篇文章。不然你也不会呀，操作得一步步整~

3.2 首先我们需要在SonarQube端生成User Token

先登录SonarQube服务器，然后My Account -> Security -> User Access Token，这就生成了SonarQube的用户Token，请复制保存好，因为只出现一次！！！ 如图3.2

图3.2.png

3.3 在Jenkins端安装插件Sonar-Scanner

路线图为：Manage Jenkins > Manage Plugins > Available搜索Sonar-Scanner，安装并重启Jenkins。如图3.3

图3.3.png

3.4 将前面生成的SonarQube用户Token，加入到Jenkins

路线图为：Jenkins > Credentials > System > Global Credentials > Add Credentials
如图3.4

图3.4.png

3.5 在Jenkins上添加SonarQube Server

路线图：Manage Jenkins > Configure System > SonarQube Servers

图3.5.png

3.6 为Jenkins添加Sonar-Scanner

路线图： Manage Jenkins > Global Tool Configuration > SonarQube Scanner > Add SonarQube-Scanner

图3.6.png

3.7 然后在已经存在的打包Job中进行配置

首先，在Jenkins Dashboard主页选取你需要进行SonarQube配置的Job，为其配置在Build Triggers Model中允许GitLab通过webhook调起该Job
如果找不到该项，请安装GitLab plugin、GitLab API Plugin、GitLab Merge Request Builder、GitLab Authentication，如图3.7.1

图3.7.1.png

然后，在Job配置中的Build Model添加SonarQube Scanner，如图3.7.2

图3.7.2.png

3.8 在GitLab端允许Webhook勾子

路线图：GitLab端选择要配置的Project > Settings > Integrations
如图3.8.1

图3.8.1.png

注意：
这里的问题是：GitLab仓库在公用网络，而基本上Jenkins我们一般部署在办公室本地网络，可能GitLab不能通过Webhook调起Jenkins Job。可能需要网管介入配合。

配置好Webhook后，你可以测试它，webhook是否成功，如图3.8.2，图3.8.3

图3.8.2.png

图3.8.3.png

3.9 最后我们就可以Build Jenkins Job了，看是否我们配置成功了

现在我们有两种方式构建Jenkins Job: 手动点击Build Now和Gitlab Webhook。 构建完成后我们可以看到SonarQube扫码结果，也可以点击进入SonarQube网页看具体信息。如图3.9

图3.9.png

3.10 最后给大家提供一下配置参考，怕大家看不懂或者不想听偶废话，想听听原班

人马的废话呢
应该是要搭梯子的：https://digitalave.github.io/spring/2020/05/09/GitLab-Integration-with-Jenkins.html

四、Jenkins配置MobSF安装包检测服务Job

4.1 首要条件

旧事重提，请在本地部署好MobSF，网上都有教程，这里不提了~

4.2 我们需要在Jenkins中新建一个Pipeline项目

路线图：Jenkins > New Item > Pipeline

如图4.2

图4.2.png

4.3 在Pipeline项目配置中添加Custom Parameter

Default Value: 描述的是APK构建后的目录，也就是我们从哪里获取安装包

如图4.3

图4.3.png

4.4 在Pipeline项目配置Build Triggers中设置该Job的依赖工程

PS: 啥意思呢？ 就是配置这个MobSF服务该在哪个阶段被执行，我们是设置在Jenkins打包完成后，在调起MobSF检测服务Job

如图4.4

图4.4.png

4.5 在Pipeline项目配置中添加脚本

填入Pipeline Script，他将在我们配置的安装包目录中查找应用安装包，然后上传到MobSF，再开启安装包扫码操作，最后下载扫码结果PDF到你设置的文件目录

如图4.5

图4.5.png

Pipeline Script 脚本如下：
import java.text.SimpleDateFormat

pipeline {
    agent any

    stages{
        stage('Analysis') {
            steps {
                script {
                    dir(INPUT_LOCATION) {
                        files = findFiles(glob: '*-release.apk')
                    }
                    echo 'Test Script files'
                    files.each { f ->
                        def TASK_COLLECTION = [:]
                        TASK_COLLECTION["MOBSF"] =  {
                            //上传应用包到MobSF
                            def AUTH_KEY = '**********your REST API Key'
                            upload_cmd = "curl -F 'file=@${env.INPUT_LOCATION}${f}' http://localhost:8000/api/v1/upload -H 'Authorization:${AUTH_KEY}'"
                            upload_result = sh label: 'Upload Binary', returnStdout: true, script: upload_cmd

                            def response_map = readJSON text: upload_result
                            def app_type = response_map["scan_type"]
                            sh "echo  $app_type"
                            def app_hash = response_map["hash"]
                            sh "echo  $app_hash"
                            def app_name = response_map["file_name"]
                            sh "echo  $app_name"

                            //分析扫描检测应用包
                            scan_start_cmd = "curl -X POST --url http://localhost:8000/api/v1/scan --data 'scan_type=${app_type}&file_name=${app_name}&hash=${app_hash}' -H 'Authorization:${AUTH_KEY}'"
                            sh label: 'Start Scan of Binary', returnStdout: true, script: scan_start_cmd

                            def dateFormat = new SimpleDateFormat("yyyy_MM_dd_HH:mm")
                            def date = new Date()
                            def time =dateFormat.format(date)

                            //下载检测结果pdf到制定目录
                            scan_download_report="curl -# -o ${env.INPUT_LOCATION}/MobSF_Report_${time}.pdf -X POST --url http://localhost:8000/api/v1/download_pdf --data 'hash=${app_hash}' -H 'Authorization:${AUTH_KEY}'"
                            report_text = sh label: 'Start Scan of Download Report', returnStdout: true, script: scan_download_report
                            sh "echo $report_text"
                        }
                        parallel(TASK_COLLECTION)
                    }
                }
            }
        }
    }
}

这里在脚本里有一些比如说上传应用包到MobSF，启动MobSF扫描检测和下载检测结果等脚本命令我们其实可以在MobSF页面端可以看到，一般路径在：https://localhost:8000 > API DOCS。大家可以在页面上找到相关命令，如图4.5

图4.5

4.6 我们构建MobSF Pipeline Job之后就会得到结果

如图4.6所示

图4.6.png

4.7 最后还是丢给大家一个连接吧

配置参考连接：https://riis.com/blog/pentesting_at_scale/

五、结语

持续集成、持续交付也是软件开发中的重要一环，如此的部署和配置，以及Jenkins、SonarQube、MobSF一起联调合作的配置也是需要了解和掌握的。

希望如果对你有点帮助的话，请不要吝啬你的赞，它将激励偶继续码字~

申明：禁用于商业用途，如若转载，请附带原文链接。https://www.jianshu.com/p/622a5d4f0dad蟹蟹~