Editing Vulnerability scanning tools

資訊系統安全性漏洞的檢測工具

__TOC__

== 建議/可用的檢測工具 ==
{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分  OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果 [https://www.virustotal.com/zh-tw/file/e3243792525306731ae9eba0cc4697d289e54a58ac529da0c021f2c1ca109246/analysis/ Win 版] ok
* 掃描對象: 
* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing
* 填寫個資申請: 不用

[http://wapiti.sourceforge.net/ Wapiti : a Free and Open-Source web-application vulnerability scanner in Python for Windows, Linux, BSD, OSX] v.2.3.0 掃描報告內容包含 Cross-site scripting (XSS), CRLF Injection 等部分  OWASP 項目。完整項目請看 Wapiti 首頁說明。報告內容'''沒有'''標示漏洞嚴重程度。
* 公司/維護者: Nicolas Surribas
* 作業系統: {{Win}}, {{Linux}} & {{Mac}} 需要支援 python 執行環境
* 授權: GNU General Public License version 2 (the GPL)
* 試用版限制: 
* 檔案掃毒: [https://www.virustotal.com/zh-tw/file/6b836a4810f17b7eda4345fb12293112129961ba243140c72a8da0ac2572f4b4/analysis/ VirusTotal 掃描結果 ok]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[http://www.janusec.com/product/webcruiser-web-vulnerability-scanner/ WebCruiser Web Vulnerability Scanner for Windows] Free Edition v.3.5.3。提供 Cross Site Scripting (XSS), SQL Injection, Local File Inclusion, Remote File Inclusion 等部分  OWASP 項目。報告內容'''沒有'''標示漏洞嚴重程度。{{exclaim}} 同一個網址 Cross-site scripting (XSS) 部分， [https://addons.mozilla.org/en-US/firefox/addon/xss-me/ XSS Me :: Add-ons for Firefox] 檢測的漏洞數量較多。 
* 公司/維護者: Janusec
* 作業系統: {{Win}}
* 授權: 商業
* 試用版限制: 僅能掃描內部 IP (private IP address e.g. 127.0.0.1, 192.168.*.*, 10.*.*.*) 和 http://vulnweb.janusec.com/ ，其他功能無限制，詳 [http://www.janusec.com/faq/ FAQ]。
* 檔案掃毒: Free Edition 安裝檔的 VirusTotal [https://www.virustotal.com/zh-tw/file/27180d3f88ac3bd5c9d2b2b809876a8a8f8484dc3a3f94c6b894600464965a18/analysis/ 掃描結果] ok
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://www.qualys.com/forms/freescan/ Qualys FreeScan | Free Vulnerability Scanner]
* 公司/維護者: [https://www.qualys.com/ Qualys, Inc.]
* 作業系統: 不需安裝軟體，透過網站服務，輸入要掃描的網站網址即可掃描。 報告內容有標示漏洞嚴重程度。
* 授權: 商業
* 試用版限制: (1) 10 次免費的掃描 (2) 掃描報告包含 threat, patch, OWASP 三種類型，沒有提供 SCAP ([https://www.qualys.com/solutions/compliance/scap/ Security Content Automation Protocol]) report
* 檔案掃毒: 因為透過網站服務掃描，所以不需要安裝檔。
* 掃描對象: 輸入網址
* 掃描報告內容:
* 填寫個資申請: 要

[https://github.com/sullo/nikto sullo/nikto: Nikto web server scanner] 提供網站伺服器版本更新或設定的建議，而不是掃描網站應用程式碼。 {{access | date = 2016-12-05}}
* 公司/維護者: [https://cirt.net/ CIRT.net | Suspicion Breeds Confidence]
* 作業系統: {{Win}}, {{Linux}} & {{Mac}} 需要支援 perl 執行環境
* 授權: [https://cirt.net/nikto2-docs/licences.html GNU General Public License (GPL)]
* 試用版限制: 
* 檔案掃毒: [https://www.virustotal.com/zh-tw/file/9e9b5798bde7a277330240586e00399f12d8deb256058910a5b9007582144bb5/analysis/ VirusTotal 掃描結果 ok]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://www.microsoft.com/en-us/download/details.aspx?id=7558 Microsoft Baseline Security Analyzer 2.3 (for IT Professionals)] 提供 Windows 作業系統、IIS、SQL 伺服器的安全掃描，而不是掃描網站應用程式碼。
* 公司/維護者: Microsoft
* 作業系統: {{Win}}
* 授權: 商業
* 試用版限制: 
* 檔案掃毒: [https://www.virustotal.com/zh-tw/file/ccbfccdec5d33a479c15ba2bea31f0967d7eb1e9435855111e016105b1b59138/analysis/ VirusTotal 掃描結果 ok]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://www.rapid7.com/products/nexpose/download/ Nexpose Community Edition] 提供  Apache、MySQL、OpenSSL 執行環境的安全掃描，而不是掃描網站應用程式碼。報告內容有標示漏洞嚴重程度。
* 公司/維護者: Rapid7
* 作業系統: {{Win}} & {{Linux}}
* 授權: [https://www.rapid7.com/legal 商業]
* 試用版限制: [https://www.rapid7.com/products/nexpose/download/]
* 檔案掃毒: Eset 掃描 Win 版本的安裝檔 ok
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

[https://info.beyondtrust.com/community.html Retina Network Community - BeyondTrust] 比較是掃描作業系統，而不是掃描網站應用程式碼。
* 公司/維護者: BeyondTrust
* 作業系統: {{Win}}
* 授權: 商業
* 試用版限制: 
* 檔案掃毒: Eset 掃毒 ok
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

[https://portswigger.net/burp/communitydownload Download Burp Suite Community Edition - PortSwigger]
* 公司/維護者:
* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
* 授權: 商業
* 試用版限制: 
* 檔案掃毒: 
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

== 未測試的檢測工具 ==
[https://sourceforge.net/projects/grendel/ Grendel-Scan download | SourceForge.net]
* 公司/維護者: David Byrne
* 作業系統: 
* 授權:
* 試用版限制: 
* 檔案掃毒: [https://www.virustotal.com/zh-tw/file/84e63a9df067caa9aec3ced02d63a487d67a8eac7fc60c9823c00880d33b6047/analysis/ VirusTotal 掃描結果 ok]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[http://www.arachni-scanner.com/ Arachni - Web Application Security Scanner Framework]
* 公司/維護者: [http://www.arachni-scanner.com/ Arachni - Web Application Security Scanner Framework]
* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
* 授權: [http://www.arachni-scanner.com/license/ Arachni Public Source License v1.0 ]
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果 ok: Win 版本安裝檔案 [https://www.virustotal.com/zh-tw/file/439ac0824e46703a11c9ba1b35bc8ec3129eacdbed219b7d440b1e079f757fed/analysis/ 偵測率: 1 / 55]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://www.tenable.com/products/nessus/nessus-professional/evaluate Nessus Professional Free]
* 公司/維護者: Tenable Network Security
* 作業系統: 
* 授權:
* 試用版限制: 試用 7 天
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

[https://nmap.org/  Nmap Security Scanner] [https://nmap.org/book/nse.html Nmap Scripting Engine]
* 公司/維護者: [http://insecure.org/fyodor/ Gordon Lyon]
* 作業系統: 
* 授權: [https://nmap.org/copying.html GNU General Public License Version 2, June 1991]
* 試用版限制: 
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請:

[https://github.com/andresriancho/w3af andresriancho/w3af: w3af: web application attack and audit framework, the open source web vulnerability scanner.] {{access | date = 2016-12-16}}
* 公司/維護者: [http://w3af.org/ w3af.org]
* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
* 授權: open source - GNU GENERAL PUBLIC LICENSE Version 2, June 1991
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果有問題 [https://www.virustotal.com/en/file/dd5342f5793687c671d79ecb56e1aabfb87815ff6d4fe4ce70a1856cc76ec52b/analysis/1480536017/ Detection ratio:	5 / 51]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[http://sqlmap.org/ sqlmap: automatic SQL injection and database takeover tool]
* 公司/維護者: Bernardo Damele Assumpcao Guimaraes and Miroslav Stampar
* 作業系統: 
* 授權: open source - [https://raw.githubusercontent.com/sqlmapproject/sqlmap/master/doc/COPYING GNU General Public License (GPL)]
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描 ok [https://www.virustotal.com/en/file/4375a82f338e9056e9bca6240c969f8c60cdaac5b5718ee4fe7cde44758a3a0b/analysis/1481826664/]
* 掃描對象: 
* 掃描報告內容: 
* 填寫個資申請: 不用

== 原始碼與相依套件檢測 ==
此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。

=== SonarQube ===
[https://www.sonarsource.com/products/sonarqube/ SonarQube] 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。
* 公司/維護者: SonarSource
* 執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。
* 授權與費用: [https://www.sonarsource.com/open-source-editions/sonarqube-community-edition/ Community Build] 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。
* 掃描對象: 專案原始碼。
* 檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。
* 使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。
* 帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。

=== GitHub Dependabot ===
[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。
* 公司/維護者: GitHub
* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。
* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。


== 不建議使用 ==
{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

[http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。
* 公司/維護者: Acunetix
* 作業系統: {{Win}}
* 授權: 商業
* 試用版限制: (1) 只能試用 14 天、(2) 掃描報告會說有怎樣的風險問題(vulnerability)，但是不會說明問題是出在哪個地方 {{exclaim}}
* 檔案掃毒: [https://www.virustotal.com/zh-tw/file/50507375bdbbeae1a228aedbba2aea85091ce765242e603e21e7fe1b70f3d182/analysis/ VirusTotal 掃描結果 ok]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

[http://www-03.ibm.com/software/products/en/appscan-standard IBM Security AppScan Standard]
* 公司/維護者: IBM
* 作業系統: {{Win}}
* 授權: 商業
* 試用版限制: 只能掃描 demo.testfire.net
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

[http://www.golismero.com/ Golismero Project. The web knife.] v. 2.0.0b6 ([https://github.com/golismero/golismero github])
* 公司/維護者: Golismero
* 作業系統: {{Win}}, {{Linux}} & {{Mac}} 需要可執行 Python 環境
* 授權: GNU GENERAL PUBLIC LICENSE Version 2, June 1991 ([https://github.com/golismero/golismero/blob/master/LICENSE LICENSE] 檔案)
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果有問題  [https://www.virustotal.com/zh-tw/file/a715d1f88e736a81acff5edb6edc77486d97a93ce2fa2906aea286f695b704e7/analysis/ 偵測率: 5/54]、使用 Eset Endpoint Antivirus 掃描 ok
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://github.com/Te-k/phpscanner Te-k/phpscanner: Php Scanner for malicious files]
* 公司/維護者: 
* 作業系統: 
* 授權: [https://github.com/Te-k/phpscanner/blob/master/LICENSE MIT License]
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果有問題 [https://www.virustotal.com/zh-tw/file/cd6bac1e4b8b1f56ef43f6b2e1c6950066b78408829c70b4657cb5b2a730c37a/analysis/1480922884/  偵測率: 3 / 55]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[http://www8.hp.com/us/en/software-solutions/webinspect-dynamic-analysis-dast/index.html?#.Uuf0KBAo4iw Dynamic Analysis, DAST, Penetration Testing Tools | Hewlett Packard Enterprise]
* 公司/維護者: HP
* 作業系統: {{Win}}
* 授權: 商業
* 試用版限制: (1)只能試用 15 天、(2) 只能掃描 zero.webappsecurity.com 
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 要

[https://subgraph.com/vega/ Vega Vulnerability Scanner]
* 公司/維護者: subgraph
* 作業系統: {{Win}}, {{Linux}} & {{Mac}} 不過 {{Win}} & {{Mac}} 版本啟動或安裝遇到問題。 {{exclaim}}
* 授權: [https://subgraph.com/vega/community/index.en.html EPL (Eclipse Public License) 1.0.]
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果 ok [https://www.virustotal.com/zh-tw/file/14f7eee1f41ef9241efeb2321731f8dda9ac0716805132c1a02f07994d86415f/analysis/][https://www.virustotal.com/zh-tw/file/67687ae29a6d99c7ba8786b9cedbda3213321ad862e8adf41f8a9d94a8f4d732/analysis/][https://www.virustotal.com/zh-tw/file/4fad49e588f64426a3da72925d912f863eab94c748a5d4d47358147a90a7732a/analysis/]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework OWASP Xenotix XSS Exploit Framework - OWASP]
* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
* 作業系統: {{Win}}
* 授權: [https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework Creative Commons Attribution-ShareAlike 3.0]
* 試用版限制: 
* 檔案掃毒: VirusTotal 掃描結果有問題 [https://www.virustotal.com/zh-tw/file/68096d574aacf51cea46708d473d5c6b13d3b5039c8f3587d2325c9bdefdcbc1/analysis/ 偵測率:	5 / 47]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

[https://portswigger.net/burp/download.html Burp Suite] Free Edition v.1.7.14
* 公司/維護者: [https://portswigger.net/index.html PortSwigger Web Security]
* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
* 授權: [https://portswigger.net/burp/eula-free.html 商業]
* 試用版限制: 功能或時間限制
* 檔案掃毒: VirusTotal 掃描結果 ok [https://www.virustotal.com/zh-tw/file/a521df231d4471827d8028b79b7a4b821ffcb6ed872ae6362b25efb96f9eb50b/analysis/][https://www.virustotal.com/zh-tw/file/8c53f3af171c4338af1777e2ed59481a135ccb04a2b747d739a6730fe67564f4/analysis/], jar 檔 [https://www.virustotal.com/en/file/5781caa88a5e5f24fbc69eb9c9a16923faa104f3962ebc6e309e5d1c5e4e1457/analysis/1481730483/ Detection ratio:	2 / 54]
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 不用

<pre>
軟體名稱
* 公司/維護者: 
* 作業系統: 
* 授權:
* 試用版限制: 
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: 
</pre>



== Related pages ==
* [[Web_Ping#SSL_Server_Test | SSL Server Test]]
* [https://errerrors.blogspot.com/2024/03/free-wordpress-vulnerability-scan-tool.html 免費 WordPress 網站弱點掃描工具]
* [https://owasp.org/projects/top-ten OWASP Top 10 | OWASP Foundation] 「OWASP Top 10 是全球最廣泛採用的網頁應用程式安全風險指南之一。由 OWASP Foundation 維護，目前最新發佈版本是 OWASP Top 10 2025。」 {{access | date=2026-10-21}}

== References ==

* [https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools Category:Vulnerability Scanning Tools - OWASP]
* [http://www.networkworld.com/article/2176429/security/security-6-free-network-vulnerability-scanners.html 6 free network vulnerability scanners | Network World]
* [https://www.owasp.org/index.php/Appendix_A:_Testing_Tools Appendix A: Testing Tools - OWASP]
* [http://sectools.org/tag/web-scanners/ Web vulnerability scanners – SecTools Top Network Security Tools]

[[Category:Security]] [[Category:Tool]]