Vulnerability scanning tools: Difference between revisions

Latest revision as of 18:14, 20 October 2026

資訊系統安全性漏洞的檢測工具

建議/可用的檢測工具[edit]

ZAP v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞嚴重程度。

公司/維護者: OWASP
作業系統: Win , Linux & macOS
授權: Apache 2 License
試用版限制:
檔案掃毒: VirusTotal 掃描結果 Win 版 ok
掃描對象:
掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing
填寫個資申請: 不用

Wapiti : a Free and Open-Source web-application vulnerability scanner in Python for Windows, Linux, BSD, OSX v.2.3.0 掃描報告內容包含 Cross-site scripting (XSS), CRLF Injection 等部分 OWASP 項目。完整項目請看 Wapiti 首頁說明。報告內容沒有標示漏洞嚴重程度。

公司/維護者: Nicolas Surribas
作業系統: Win , Linux & macOS 需要支援 python 執行環境
授權: GNU General Public License version 2 (the GPL)
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

WebCruiser Web Vulnerability Scanner for Windows Free Edition v.3.5.3。提供 Cross Site Scripting (XSS), SQL Injection, Local File Inclusion, Remote File Inclusion 等部分 OWASP 項目。報告內容沒有標示漏洞嚴重程度。同一個網址 Cross-site scripting (XSS) 部分， XSS Me :: Add-ons for Firefox 檢測的漏洞數量較多。

公司/維護者: Janusec
作業系統: Win
授權: 商業
試用版限制: 僅能掃描內部 IP (private IP address e.g. 127.0.0.1, 192.168.*.*, 10.*.*.*) 和 http://vulnweb.janusec.com/ ，其他功能無限制，詳 FAQ。
檔案掃毒: Free Edition 安裝檔的 VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Qualys FreeScan | Free Vulnerability Scanner

公司/維護者: Qualys, Inc.
作業系統: 不需安裝軟體，透過網站服務，輸入要掃描的網站網址即可掃描。報告內容有標示漏洞嚴重程度。
授權: 商業
試用版限制: (1) 10 次免費的掃描 (2) 掃描報告包含 threat, patch, OWASP 三種類型，沒有提供 SCAP (Security Content Automation Protocol) report
檔案掃毒: 因為透過網站服務掃描，所以不需要安裝檔。
掃描對象: 輸入網址
掃描報告內容:
填寫個資申請: 要

sullo/nikto: Nikto web server scanner 提供網站伺服器版本更新或設定的建議，而不是掃描網站應用程式碼。 [Last visited: 2016-12-05]

公司/維護者: CIRT.net | Suspicion Breeds Confidence
作業系統: Win , Linux & macOS 需要支援 perl 執行環境
授權: GNU General Public License (GPL)
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Microsoft Baseline Security Analyzer 2.3 (for IT Professionals) 提供 Windows 作業系統、IIS、SQL 伺服器的安全掃描，而不是掃描網站應用程式碼。

公司/維護者: Microsoft
作業系統: Win
授權: 商業
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Nexpose Community Edition 提供 Apache、MySQL、OpenSSL 執行環境的安全掃描，而不是掃描網站應用程式碼。報告內容有標示漏洞嚴重程度。

公司/維護者: Rapid7
作業系統: Win & Linux
授權: 商業
試用版限制: [1]
檔案掃毒: Eset 掃描 Win 版本的安裝檔 ok
掃描對象:
掃描報告內容:
填寫個資申請: 要

Retina Network Community - BeyondTrust 比較是掃描作業系統，而不是掃描網站應用程式碼。

公司/維護者: BeyondTrust
作業系統: Win
授權: 商業
試用版限制:
檔案掃毒: Eset 掃毒 ok
掃描對象:
掃描報告內容:
填寫個資申請: 要

Download Burp Suite Community Edition - PortSwigger

公司/維護者:
作業系統: Win , Linux & macOS
授權: 商業
試用版限制:
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

未測試的檢測工具[edit]

Grendel-Scan download | SourceForge.net

公司/維護者: David Byrne
作業系統:
授權:
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Arachni - Web Application Security Scanner Framework

公司/維護者: Arachni - Web Application Security Scanner Framework
作業系統: Win , Linux & macOS
授權: Arachni Public Source License v1.0
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok: Win 版本安裝檔案偵測率: 1 / 55
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Nessus Professional Free

公司/維護者: Tenable Network Security
作業系統:
授權:
試用版限制: 試用 7 天
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

Nmap Security Scanner Nmap Scripting Engine

公司/維護者: Gordon Lyon
作業系統:
授權: GNU General Public License Version 2, June 1991
試用版限制:
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請:

andresriancho/w3af: w3af: web application attack and audit framework, the open source web vulnerability scanner. [Last visited: 2016-12-16]

公司/維護者: w3af.org
作業系統: Win , Linux & macOS
授權: open source - GNU GENERAL PUBLIC LICENSE Version 2, June 1991
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題 Detection ratio: 5 / 51
掃描對象:
掃描報告內容:
填寫個資申請: 不用

sqlmap: automatic SQL injection and database takeover tool

公司/維護者: Bernardo Damele Assumpcao Guimaraes and Miroslav Stampar
作業系統:
授權: open source - GNU General Public License (GPL)
試用版限制:
檔案掃毒: VirusTotal 掃描 ok [2]
掃描對象:
掃描報告內容:
填寫個資申請: 不用

原始碼與相依套件檢測[edit]

此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。

SonarQube[edit]

SonarQube 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。

公司/維護者: SonarSource
執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。
授權與費用: Community Build 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。
掃描對象: 專案原始碼。
檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。
使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。
帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。

GitHub Dependabot[edit]

GitHub Dependabot 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。

公司/維護者: GitHub
執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 GitHub Actions 計費說明。
掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。

不建議使用[edit]

由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

Website security with Acunetix v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。

公司/維護者: Acunetix
作業系統: Win
授權: 商業
試用版限制: (1) 只能試用 14 天、(2) 掃描報告會說有怎樣的風險問題(vulnerability)，但是不會說明問題是出在哪個地方
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 要

IBM Security AppScan Standard

公司/維護者: IBM
作業系統: Win
授權: 商業
試用版限制: 只能掃描 demo.testfire.net
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

Golismero Project. The web knife. v. 2.0.0b6 (github)

公司/維護者: Golismero
作業系統: Win , Linux & macOS 需要可執行 Python 環境
授權: GNU GENERAL PUBLIC LICENSE Version 2, June 1991 (LICENSE 檔案)
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題偵測率: 5/54、使用 Eset Endpoint Antivirus 掃描 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Te-k/phpscanner: Php Scanner for malicious files

公司/維護者:
作業系統:
授權: MIT License
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題偵測率: 3 / 55
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Dynamic Analysis, DAST, Penetration Testing Tools | Hewlett Packard Enterprise

公司/維護者: HP
作業系統: Win
授權: 商業
試用版限制: (1)只能試用 15 天、(2) 只能掃描 zero.webappsecurity.com
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

Vega Vulnerability Scanner

公司/維護者: subgraph
作業系統: Win , Linux & macOS 不過 Win & macOS 版本啟動或安裝遇到問題。
授權: EPL (Eclipse Public License) 1.0.
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok [3][4][5]
掃描對象:
掃描報告內容:
填寫個資申請: 不用

OWASP Xenotix XSS Exploit Framework - OWASP

公司/維護者: OWASP
作業系統: Win
授權: Creative Commons Attribution-ShareAlike 3.0
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題偵測率: 5 / 47
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Burp Suite Free Edition v.1.7.14

公司/維護者: PortSwigger Web Security
作業系統: Win , Linux & macOS
授權: 商業
試用版限制: 功能或時間限制
檔案掃毒: VirusTotal 掃描結果 ok [6][7], jar 檔 Detection ratio: 2 / 54
掃描對象:
掃描報告內容:
填寫個資申請: 不用

軟體名稱
* 公司/維護者: 
* 作業系統: 
* 授權:
* 試用版限制: 
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請:

Related pages[edit]

References[edit]

@@ Line 3: / Line 3: @@
 __TOC__
-== 建議/可用 ==
+== 建議/可用的檢測工具 ==
 {{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分  OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
 * 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
@@ Line 94: / Line 94: @@
 * 填寫個資申請: 要
-== 未測試 ==
+== 未測試的檢測工具 ==
 [https://sourceforge.net/projects/grendel/ Grendel-Scan download | SourceForge.net]
 * 公司/維護者: David Byrne
@@ Line 155: / Line 155: @@
 * 填寫個資申請: 不用
-== 不建議使用試用版 ==
+== 原始碼與相依套件檢測 ==
-: [[Image:Owl icon.jpg]] 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。
+此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。
+=== SonarQube ===
+[https://www.sonarsource.com/products/sonarqube/ SonarQube] 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。
+* 公司/維護者: SonarSource
+* 執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。
+* 授權與費用: [https://www.sonarsource.com/open-source-editions/sonarqube-community-edition/ Community Build] 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。
+* 掃描對象: 專案原始碼。
+* 檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。
+* 使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。
+* 帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。
+=== GitHub Dependabot ===
+[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。
+* 公司/維護者: GitHub
+* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
+* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。
+* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
+* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
+* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
+* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
+* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。
+== 不建議使用 ==
+{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。
 [http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。
@@ Line 249: / Line 274: @@
 * 填寫個資申請:
 </pre>