afuckingco/sctk-commercial
GitHub: afuckingco/sctk-commercial
一款本地运行的命令行安全扫描套装，通过统一调度器一次性完成密钥泄露检测、Git 历史深度扫描和 Dockerfile 配置审计。
Stars: 0 | Forks: 0
# 安全 CLI 工具包 — 商业套装 v1.1.0
## 您将获得
`sctk` 统一调度器可一次性运行 3 个扫描器：
| 工具 | 语言 | 可检测内容 |
|------|------|-----------------|
| `sift` | Go | Entropy + 正则表达式密钥检测（API keys、tokens、private keys、Stripe/GH/Slack） |
| `secradar` | Rust | 深度 git-history 扫描 — 即使在执行 `git rm` 后，也能检测隐藏/轮换的密钥 |
| `dockguard` | Python | Dockerfile linter — USER root、:latest、嵌入的密钥、缺失的 HEALTHCHECK |
所有工具均输出与 `output-schema.json` 匹配的**标准化 JSON**。一条命令即可捕获所有内容：
```
sctk scan . --timeout 60
```
无需上传至云端。您的代码永远不会离开您的计算机。
## 安装
1. 将套装解压至任意位置（例如 `~/sctk-commercial/`）。
2. 将 `bin/sctk`（如果是 Windows，还包括 `bin/sctk.exe`）复制到 PATH 目录中，或者直接运行 `./bin/sctk`。
3. 二进制文件已预构建并打包：
- `bin/sift/sift.exe`（Go，约 3.9 MB，Windows 就绪）
- `bin/secradar/secradar.exe`（Rust，release build）
- `bin/dockguard/`（Python package，无需 pip — 通过打包的 `python` 运行）
4. 运行 `sctk status` 以验证全部 3 个工具是否均能被检测到。
## 用法
```
sctk scan . # run everything (60s timeout per tool)
sctk scan . --timeout 30 # 30s timeout per tool
sctk scan . --exclude secradar # skip git-history scan
sctk scan . --output results.json # save normalized JSON to file
sctk sift ./src # scan src/ for secrets only
sctk dockguard ./Dockerfile # lint a Dockerfile
sctk secradar . --git-history # deep git-history scan
sctk status # check installed tools
```
### CI / pre-commit
```
# 遇到任何 HIGH/CRITICAL 发现时使构建失败
sctk scan . --output report.json
jq 'length > 0' report.json && echo "SECRETS FOUND" && exit 1 || echo "clean"
```
`extras/` 目录中附带了 GitHub Actions 工作流和 pre-commit 钩子。
## 扫描输出 schema
`output-schema.json`（一个扁平的 findings 数组）：
```
[
{
"tool": "sift|secradar|dockguard",
"rule_id": "S002|DG001|...",
"severity": "CRITICAL|HIGH|MEDIUM|LOW|warning|info",
"description" | "message": "...",
"line": 12,
"snippet" | "suggestion": "..."
}
]
```
## Pro 级别额外内容（`extras/`）
- `github-actions-security.yml` — 现成的 CI 工作流
- `pre-commit-hook.sh` — 用于阻止包含密钥的 commit 的 git 钩子
- `Dockerfile.secure` — 经过加固的 base image 模板
- `REPORT-TEMPLATE.md` — 可直接交付给客户的报告框架
## 许可证
商业版。每次购买包含一个席位（Team 级别 = 最多 5 个席位）。
扫描器源代码：MIT（公开）。套装、模板和品牌标识：已授权。
由 A.A. Pangimpian 构建 — PILGRIMS v17 渗透测试框架，SignBridge AI（准确率 92.4%）。
标签：Dockerfile, StruQ, 云安全监控, 可视化界面, 日志审计, 网络安全研究, 请求拦截, 逆向工具, 静态分析