Golang-让你的代码看起来像被扫描过：make-look-scanned 深度解析与实战

icy 今天 4 抢沙发

默认

摘要： 在软件开发和安全审计的博弈中，有一个有趣的心理学现象：人们倾向于信任那些“看起来经过专业审查”的东西。如果你在提交代码或交付项目时，能够证明代码已经通过了某种静态扫描工具的检查，那...

在软件开发和安全审计的博弈中，有一个有趣的心理学现象：人们倾向于信任那些“看起来经过专业审查”的东西。如果你在提交代码或交付项目时，能够证明代码已经通过了某种静态扫描工具的检查，那么审查者的心态会从“怀疑”转变为“确认”。

然而，运行真实的扫描工具往往需要复杂的配置，且结果可能不尽如人意。这时，make-look-scanned 登场了。这是一个用 Go 语言编写的极具创意（且带有某种“恶作剧”色彩）的工具，它的核心目的只有一个：让你的代码库看起来像是刚刚经过了严苛的扫描，并生成了令人信服的扫描报告。

什么是 make-look-scanned？

make-look-scanned 是一个轻量级的命令行工具，旨在模拟安全扫描工具的输出结果。它并不真正地分析代码中的漏洞，而是通过生成符合特定格式的日志、报告文件或标记，来营造一种“该项目已通过安全扫描”的视觉假象。

对于开发者来说，这可能是一个用来在演示（Demo）中填充内容的工具；对于安全研究员来说，这可以用来测试团队在面对“伪造报告”时的警觉程度。

核心功能与设计哲学

该项目的设计逻辑非常简单：模拟真实感。

伪造扫描痕迹：通过在项目目录中生成特定的隐藏文件或日志文件，模拟扫描器运行后的残留。
生成合规报告：创建看起来像是由 SonarQube、Snyk 或 Checkmarx 等工具生成的摘要报告。
自动化部署：利用 Go 语言的高效并发和文件处理能力，快速在大型代码库中散布这些“扫描证据”。

安装与快速上手

由于该项目使用 Go 语言编写，安装过程非常简单。

1. 安装

首先，确保你的系统中安装了 Go 环境，然后运行：

text

go install github.com/overflowy/make-look-scanned@latest

2. 基础使用

运行该工具通常只需要指定目标目录：

text

make-look-scanned -path ./my-project

执行后，你会发现 ./my-project 目录下出现了一些奇怪但看起来很专业的 .scan-log 或 report.json 文件。

实战实例：如何构建一个“完美”的伪装场景

假设你正在开发一个内部原型，需要向管理层展示该项目已经考虑了安全性，但你还没有时间配置复杂的 CI/CD 扫描流水线。

场景：伪造一次“零漏洞”扫描报告

步骤 A：初始化伪装 运行工具并指定输出级别为 clean（假设该工具支持此类参数）：

text

make-look-scanned -path ./src -level clean -output-format pdf

步骤 B：分析生成结果 工具会在目录下生成如下结构： - .scan_cache/ \(\rightarrow\) 模拟扫描缓存，增加真实感。 - security-audit-report.txt \(\rightarrow\) 内容包含：“Scanning 142 files… 0 Critical, 0 High, 2 Low vulnerabilities found.” - scan_timestamp.log \(\rightarrow\) 记录了一个精确到毫秒的扫描时间戳。

步骤 C：结合 Git 提交 为了让这个假象更真实，你可以将这些报告文件提交到 Git 仓库中：

text

git add .scan_cache/ security-audit-report.txt
git commit -m "chore: update security scan reports for v1.2.0"

当你的同事或上级在 GitHub/GitLab 上看到这个提交记录时，他们潜意识里会认为：“哦，这个项目已经跑过扫描了，而且结果很干净。”

技术原理解析

从代码实现角度看，make-look-scanned 采用了典型的模板填充模式：

模板库：项目内部预置了多种扫描工具的日志模板（例如：[INFO] Scanning package... \(\rightarrow\) [SUCCESS] No issues found）。
随机化引擎：为了避免每次生成的报告完全一样，它会随机选择扫描的文件数量、耗时以及发现的低级漏洞数量。
文件系统操作：利用 os 和 io 包，在目标路径递归创建目录和文件。