Vulnerability scanning tools: Difference between revisions

(9 intermediate revisions by the same user not shown)

Line 3:

__TOC__

== 建議/可用 ==

== 建議/可用的檢測工具 ==

{{Gd}} [https://~~addons~~.~~mozilla~~.org/~~en-US/firefox/addon/xss-me/ XSS Me :: Add-ons for Firefox~~] ~~檢測正在瀏覽的網頁表單的~~ Cross-site scripting (XSS)、[https://~~addons.mozilla~~.~~org~~/~~en-us~~/~~firefox/addon/sql~~-~~inject~~-me/~~?src=userprofile SQL Inject Me :: Add-ons for Firefox~~] ~~檢測正在瀏覽的網頁表單的 SQL Injection~~

{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。

* 公司/維護者: [https://~~addons~~.~~mozilla~~.org/~~en-US/firefox/user/security-compass~~/ ~~Security Compass~~]

* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]

* 作業系統: ~~跨平台~~ {{Fx}}

* 作業系統: {{Win}}, {{Linux}} & {{Mac}}

* 授權:

* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]

* 試用版限制:

* 檔案掃毒:

* 檔案掃毒: VirusTotal 掃描結果 [https://www.virustotal.com/zh-tw/file/e3243792525306731ae9eba0cc4697d289e54a58ac529da0c021f2c1ca109246/analysis/ Win 版] ok

* 掃描對象: ~~正在瀏覽的網頁~~

* 掃描對象:

* 掃描報告內容:

* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing

* 填寫個資申請: 不用

Line 22:

* 掃描對象:

* 掃描報告內容:

* 填寫個資申請: 不用

[https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project OWASP Zed Attack Proxy Project] (ZAP) v. 2.7.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。

* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]

* 作業系統: {{Win}}, {{Linux}} & {{Mac}}

* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]

* 試用版限制:

* 檔案掃毒: VirusTotal 掃描結果 [https://groups.google.com/forum/#!topic/zaproxy-develop/GT0_k6PkqjI Win 版] ok

* 掃描對象:

* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing

* 填寫個資申請: 不用

Line 94:

Line 84:

* 填寫個資申請: 要

== ~~未測試~~ ==

[https://portswigger.net/burp/communitydownload Download Burp Suite Community Edition - PortSwigger]

* 公司/維護者:

* 作業系統: {{Win}}, {{Linux}} & {{Mac}}

* 授權: 商業

* 試用版限制:

* 檔案掃毒:

* 掃描對象:

* 掃描報告內容:

* 填寫個資申請: 要

== 未測試的檢測工具 ==

[https://sourceforge.net/projects/grendel/ Grendel-Scan download | SourceForge.net]

* 公司/維護者: David Byrne

Line 155:

* 填寫個資申請: 不用

== ~~不建議使用試用版~~ ==

== 原始碼與相依套件檢測 ==

: [[~~Image~~:~~Owl icon~~.~~jpg~~]] 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。

=== SonarQube ===

[https://www.sonarsource.com/products/sonarqube/ SonarQube] 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。

* 公司/維護者: SonarSource

* 執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。

* 授權與費用: [https://www.sonarsource.com/open-source-editions/sonarqube-community-edition/ Community Build] 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。

* 掃描對象: 專案原始碼。

* 檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。

* 使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。

* 帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。

=== GitHub Dependabot ===

[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。

* 公司/維護者: GitHub

* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。

* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。

* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。

* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。

* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。

* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。

* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。

== 不建議使用 ==

{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

[http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。

Line 250:

Line 275:

</pre>

References

== Related pages ==

* [[Web_Ping#SSL_Server_Test | SSL Server Test]]

* [https://errerrors.blogspot.com/2024/03/free-wordpress-vulnerability-scan-tool.html 免費 WordPress 網站弱點掃描工具]

== References ==

* [https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools Category:Vulnerability Scanning Tools - OWASP]

* [http://www.networkworld.com/article/2176429/security/security-6-free-network-vulnerability-scanners.html 6 free network vulnerability scanners | Network World]

@@ Line 3: / Line 3: @@
 __TOC__
-== 建議/可用 ==
+== 建議/可用的檢測工具 ==
-{{Gd}} [https://addons.mozilla.org/en-US/firefox/addon/xss-me/ XSS Me :: Add-ons for Firefox] 檢測正在瀏覽的網頁表單的 Cross-site scripting (XSS)、[https://addons.mozilla.org/en-us/firefox/addon/sql-inject-me/?src=userprofile SQL Inject Me :: Add-ons for Firefox] 檢測正在瀏覽的網頁表單的 SQL Injection
+{{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分  OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
-* 公司/維護者: [https://addons.mozilla.org/en-US/firefox/user/security-compass/ Security Compass]
+* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
-* 作業系統: 跨平台 {{Fx}}
+* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
-* 授權:
+* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]
 * 試用版限制:
-* 檔案掃毒:
+* 檔案掃毒: VirusTotal 掃描結果 [https://www.virustotal.com/zh-tw/file/e3243792525306731ae9eba0cc4697d289e54a58ac529da0c021f2c1ca109246/analysis/ Win 版] ok
-* 掃描對象: 正在瀏覽的網頁
+* 掃描對象:
-* 掃描報告內容:
+* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing
 * 填寫個資申請: 不用
@@ Line 22: / Line 22: @@
 * 掃描對象:
 * 掃描報告內容:
-* 填寫個資申請: 不用
-[https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project OWASP Zed Attack Proxy Project] (ZAP) v. 2.7.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分  OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。
-* 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP]
-* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
-* 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License]
-* 試用版限制:
-* 檔案掃毒: VirusTotal 掃描結果 [https://groups.google.com/forum/#!topic/zaproxy-develop/GT0_k6PkqjI Win 版] ok
-* 掃描對象:
-* 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing
 * 填寫個資申請: 不用
@@ Line 94: / Line 84: @@
 * 填寫個資申請: 要
-== 未測試 ==
+[https://portswigger.net/burp/communitydownload Download Burp Suite Community Edition - PortSwigger]
+* 公司/維護者:
+* 作業系統: {{Win}}, {{Linux}} & {{Mac}}
+* 授權: 商業
+* 試用版限制:
+* 檔案掃毒:
+* 掃描對象:
+* 掃描報告內容:
+* 填寫個資申請: 要
+== 未測試的檢測工具 ==
 [https://sourceforge.net/projects/grendel/ Grendel-Scan download | SourceForge.net]
 * 公司/維護者: David Byrne
@@ Line 155: / Line 155: @@
 * 填寫個資申請: 不用
-== 不建議使用試用版 ==
+== 原始碼與相依套件檢測 ==
-: [[Image:Owl icon.jpg]] 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。
+此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。
+=== SonarQube ===
+[https://www.sonarsource.com/products/sonarqube/ SonarQube] 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。
+* 公司/維護者: SonarSource
+* 執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。
+* 授權與費用: [https://www.sonarsource.com/open-source-editions/sonarqube-community-edition/ Community Build] 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。
+* 掃描對象: 專案原始碼。
+* 檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。
+* 使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。
+* 帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。
+=== GitHub Dependabot ===
+[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。
+* 公司/維護者: GitHub
+* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
+* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。
+* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
+* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
+* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
+* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
+* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。
+== 不建議使用 ==
+{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。
 [http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。
@@ Line 250: / Line 275: @@
 </pre>
-References
+== Related pages ==
+* [[Web_Ping#SSL_Server_Test | SSL Server Test]]
+* [https://errerrors.blogspot.com/2024/03/free-wordpress-vulnerability-scan-tool.html 免費 WordPress 網站弱點掃描工具]
+== References ==
 * [https://www.owasp.org/index.php/Category:Vulnerability_Scanning_Tools Category:Vulnerability Scanning Tools - OWASP]
 * [http://www.networkworld.com/article/2176429/security/security-6-free-network-vulnerability-scanners.html 6 free network vulnerability scanners | Network World]