Vulnerability scanning tools - Revision history

Planetoid at 10:14, 20 October 2026

2026-10-20T10:14:10Z

← Older revision		Revision as of 18:14, 20 October 2026
Line 3:		Line 3:
	__TOC__		__TOC__

	== 建議/可用 ==		== 建議/可用的檢測工具 ==
	{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。		{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
	* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]		* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
Line 94:		Line 94:
	* 填寫個資申請: 要		* 填寫個資申請: 要

	== ~~未測試~~ ==		== 未測試的檢測工具 ==
	[https://sourceforge.net/projects/grendel/ Grendel-Scan download \| SourceForge.net]		[https://sourceforge.net/projects/grendel/ Grendel-Scan download \| SourceForge.net]
	* 公司/維護者: David Byrne		* 公司/維護者: David Byrne
Line 155:		Line 155:
	* 填寫個資申請: 不用		* 填寫個資申請: 不用

	== ~~不建議使用試用版~~ ==		== 原始碼與相依套件檢測 ==
			此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。

			=== SonarQube ===
			[https://www.sonarsource.com/products/sonarqube/ SonarQube] 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。
			* 公司/維護者: SonarSource
			* 執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。
			* 授權與費用: [https://www.sonarsource.com/open-source-editions/sonarqube-community-edition/ Community Build] 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。
			* 掃描對象: 專案原始碼。
			* 檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。
			* 使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。
			* 帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。

			=== GitHub Dependabot ===
			[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。
			* 公司/維護者: GitHub
			* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
			* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。
			* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
			* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
			* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
			* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
			* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。


			== 不建議使用 ==
	{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。		{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

Line 249:		Line 274:
	* 填寫個資申請:		* 填寫個資申請:
	</pre>		</pre>

Planetoid: Text replacement - ": Image:Owl icon.jpg " to "{{Tips}} "

2025-01-08T12:13:59Z

Text replacement - ": Image:Owl icon.jpg " to "{{Tips}} "

← Older revision		Revision as of 20:13, 8 January 2025
Line 156:		Line 156:

	== 不建議使用試用版 ==		== 不建議使用試用版 ==
	~~: [[Image:Owl icon.jpg]]~~ 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。		{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

	[http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。		[http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。

Planetoid: /* Related pages */

2024-09-19T07:05:44Z

← Older revision		Revision as of 15:05, 19 September 2024
Line 253:		Line 253:
	== Related pages ==		== Related pages ==
	* [[Web_Ping#SSL_Server_Test \| SSL Server Test]]		* [[Web_Ping#SSL_Server_Test \| SSL Server Test]]
			* [https://errerrors.blogspot.com/2024/03/free-wordpress-vulnerability-scan-tool.html 免費 WordPress 網站弱點掃描工具]

	== References ==		== References ==

Planetoid: /* 建議/可用 */

2024-09-19T07:04:56Z

建議/可用

← Older revision		Revision as of 15:04, 19 September 2024
Line 4:		Line 4:

	== 建議/可用 ==		== 建議/可用 ==
	{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.7.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。		{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
	* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]		* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
	* 作業系統: {{Win}}, {{Linux}} & {{Mac}}		* 作業系統: {{Win}}, {{Linux}} & {{Mac}}

Planetoid: /* 建議/可用 */

2024-09-19T06:47:22Z

建議/可用

← Older revision		Revision as of 14:47, 19 September 2024
Line 4:		Line 4:

	== 建議/可用 ==		== 建議/可用 ==
	{{Gd}} [https://www.~~owasp~~.org/~~index.php/OWASP_Zed_Attack_Proxy_Project OWASP Zed Attack Proxy Project~~] ~~(ZAP)~~ v. 2.7.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。		{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.7.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
	* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]		* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
	* 作業系統: {{Win}}, {{Linux}} & {{Mac}}		* 作業系統: {{Win}}, {{Linux}} & {{Mac}}

Unknown user: /* 建議/可用 */ remove XSS Me

2024-01-29T09:49:41Z

建議/可用: remove XSS Me

@@ Line 12: / Line 12: @@
 * 掃描對象:
 * 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing
 * 填寫個資申請: 不用

Unknown user: /* 建議/可用 */

2021-12-11T08:13:53Z

建議/可用

@@ Line 4: / Line 4: @@
 == 建議/可用 ==
 {{Gd}} [https://addons.mozilla.org/en-US/firefox/addon/xss-me/ XSS Me :: Add-ons for Firefox] 檢測正在瀏覽的網頁表單的 Cross-site scripting (XSS)、[https://addons.mozilla.org/en-us/firefox/addon/sql-inject-me/?src=userprofile SQL Inject Me :: Add-ons for Firefox] 檢測正在瀏覽的網頁表單的 SQL Injection
 * 公司/維護者: [https://addons.mozilla.org/en-US/firefox/user/security-compass/ Security Compass]
@@ Line 22: / Line 32: @@
 * 掃描對象:
 * 掃描報告內容:
 * 填寫個資申請: 不用

Unknown user: /* 建議/可用 */

2021-03-26T10:06:39Z

建議/可用

@@ Line 90: / Line 90: @@
 * 試用版限制:
 * 檔案掃毒: Eset 掃毒 ok
 * 掃描對象:
 * 掃描報告內容:

Unknown user: + SSL Server Test

2020-12-02T04:15:57Z

+ SSL Server Test

← Older revision		Revision as of 12:15, 2 December 2020
Line 250:		Line 250:
	</pre>		</pre>

	References
			== Related pages ==
			* [[Web_Ping#SSL_Server_Test \| SSL Server Test]]

			== References ==

	* [https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools Category:Vulnerability Scanning Tools - OWASP]		* [https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools Category:Vulnerability Scanning Tools - OWASP]
	* [http://www.networkworld.com/article/2176429/security/security-6-free-network-vulnerability-scanners.html 6 free network vulnerability scanners \| Network World]		* [http://www.networkworld.com/article/2176429/security/security-6-free-network-vulnerability-scanners.html 6 free network vulnerability scanners \| Network World]

Planetoid: /* 建議/可用 */

2018-11-29T10:43:40Z

建議/可用

← Older revision		Revision as of 18:43, 29 November 2018
Line 29:		Line 29:
	* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]		* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]
	* 試用版限制:		* 試用版限制:
	* 檔案掃毒: VirusTotal 掃描結果 [https://~~groups~~.~~google~~.com/~~forum~~/~~#!topic~~/~~zaproxy-develop~~/~~GT0_k6PkqjI~~ Win 版] ok		* 檔案掃毒: VirusTotal 掃描結果 [https://www.virustotal.com/zh-tw/file/e3243792525306731ae9eba0cc4697d289e54a58ac529da0c021f2c1ca109246/analysis/ Win 版] ok
	* 掃描對象:		* 掃描對象:
	* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing		* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing