Vulnerability scanning tools: Difference between revisions
mNo edit summary |
|||
| (6 intermediate revisions by the same user not shown) | |||
| Line 3: | Line 3: | ||
__TOC__ | __TOC__ | ||
== 建議/ | == 建議/可用的檢測工具 == | ||
{{Gd}} [https:// | {{Gd}} [https://www.zaproxy.org/ ZAP] v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞[https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAlerts 嚴重程度]。 | ||
* 公司/維護者: [https:// | * 公司/維護者: [https://www.owasp.org/index.php/Main_Page OWASP] | ||
* 作業系統: | * 作業系統: {{Win}}, {{Linux}} & {{Mac}} | ||
* 授權: | * 授權: [https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project Apache 2 License] | ||
* 試用版限制: | * 試用版限制: | ||
* 檔案掃毒: | * 檔案掃毒: VirusTotal 掃描結果 [https://www.virustotal.com/zh-tw/file/e3243792525306731ae9eba0cc4697d289e54a58ac529da0c021f2c1ca109246/analysis/ Win 版] ok | ||
* 掃描對象: | * 掃描對象: | ||
* 掃描報告內容: | * 掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing | ||
* 填寫個資申請: 不用 | * 填寫個資申請: 不用 | ||
| Line 22: | Line 22: | ||
* 掃描對象: | * 掃描對象: | ||
* 掃描報告內容: | * 掃描報告內容: | ||
* 填寫個資申請: 不用 | * 填寫個資申請: 不用 | ||
| Line 104: | Line 94: | ||
* 填寫個資申請: 要 | * 填寫個資申請: 要 | ||
== | == 未測試的檢測工具 == | ||
[https://sourceforge.net/projects/grendel/ Grendel-Scan download | SourceForge.net] | [https://sourceforge.net/projects/grendel/ Grendel-Scan download | SourceForge.net] | ||
* 公司/維護者: David Byrne | * 公司/維護者: David Byrne | ||
| Line 165: | Line 155: | ||
* 填寫個資申請: 不用 | * 填寫個資申請: 不用 | ||
== | == 原始碼與相依套件檢測 == | ||
: [[ | 此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。 | ||
=== SonarQube === | |||
[https://www.sonarsource.com/products/sonarqube/ SonarQube] 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。 | |||
* 公司/維護者: SonarSource | |||
* 執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。 | |||
* 授權與費用: [https://www.sonarsource.com/open-source-editions/sonarqube-community-edition/ Community Build] 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。 | |||
* 掃描對象: 專案原始碼。 | |||
* 檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。 | |||
* 使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。 | |||
* 帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。 | |||
=== GitHub Dependabot === | |||
[https://docs.github.com/en/code-security/concepts/supply-chain-security/dependabot-alerts GitHub Dependabot] 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。 | |||
* 公司/維護者: GitHub | |||
* 執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。 | |||
* 授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 [https://docs.github.com/en/billing/concepts/product-billing/github-actions GitHub Actions 計費說明]。 | |||
* 掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。 | |||
* 檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。 | |||
* 自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。 | |||
* 使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。 | |||
* 帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。 | |||
== 不建議使用 == | |||
{{Tips}} 由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。 | |||
[http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。 | [http://www.acunetix.com/ Website security with Acunetix] v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。 | ||
| Line 259: | Line 274: | ||
* 填寫個資申請: | * 填寫個資申請: | ||
</pre> | </pre> | ||
== Related pages == | == Related pages == | ||
* [[Web_Ping#SSL_Server_Test | SSL Server Test]] | * [[Web_Ping#SSL_Server_Test | SSL Server Test]] | ||
* [https://errerrors.blogspot.com/2024/03/free-wordpress-vulnerability-scan-tool.html 免費 WordPress 網站弱點掃描工具] | |||
== References == | == References == | ||