Vulnerability scanning tools

資訊系統安全性漏洞的檢測工具

建議/可用的檢測工具

ZAP v. 2.15.0 掃描報告內容包含 Cross-site scripting (XSS), SQL Injection 等部分 OWASP 項目。報告內容有標示漏洞嚴重程度。

公司/維護者: OWASP
作業系統: Win , Linux & macOS
授權: Apache 2 License
試用版限制:
檔案掃毒: VirusTotal 掃描結果 Win 版 ok
掃描對象:
掃描報告內容: 內容包含 X-Frame-Options header not set, Cross-Domain javascript source file inclusion, Cross-site scripting (XSS), SQL Injection, X-content-type-options header missing
填寫個資申請: 不用

Wapiti : a Free and Open-Source web-application vulnerability scanner in Python for Windows, Linux, BSD, OSX v.2.3.0 掃描報告內容包含 Cross-site scripting (XSS), CRLF Injection 等部分 OWASP 項目。完整項目請看 Wapiti 首頁說明。報告內容沒有標示漏洞嚴重程度。

公司/維護者: Nicolas Surribas
作業系統: Win , Linux & macOS 需要支援 python 執行環境
授權: GNU General Public License version 2 (the GPL)
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

WebCruiser Web Vulnerability Scanner for Windows Free Edition v.3.5.3。提供 Cross Site Scripting (XSS), SQL Injection, Local File Inclusion, Remote File Inclusion 等部分 OWASP 項目。報告內容沒有標示漏洞嚴重程度。同一個網址 Cross-site scripting (XSS) 部分， XSS Me :: Add-ons for Firefox 檢測的漏洞數量較多。

公司/維護者: Janusec
作業系統: Win
授權: 商業
試用版限制: 僅能掃描內部 IP (private IP address e.g. 127.0.0.1, 192.168.*.*, 10.*.*.*) 和 http://vulnweb.janusec.com/ ，其他功能無限制，詳 FAQ。
檔案掃毒: Free Edition 安裝檔的 VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Qualys FreeScan | Free Vulnerability Scanner

公司/維護者: Qualys, Inc.
作業系統: 不需安裝軟體，透過網站服務，輸入要掃描的網站網址即可掃描。報告內容有標示漏洞嚴重程度。
授權: 商業
試用版限制: (1) 10 次免費的掃描 (2) 掃描報告包含 threat, patch, OWASP 三種類型，沒有提供 SCAP (Security Content Automation Protocol) report
檔案掃毒: 因為透過網站服務掃描，所以不需要安裝檔。
掃描對象: 輸入網址
掃描報告內容:
填寫個資申請: 要

sullo/nikto: Nikto web server scanner 提供網站伺服器版本更新或設定的建議，而不是掃描網站應用程式碼。 [Last visited: 2016-12-05]

公司/維護者: CIRT.net | Suspicion Breeds Confidence
作業系統: Win , Linux & macOS 需要支援 perl 執行環境
授權: GNU General Public License (GPL)
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Microsoft Baseline Security Analyzer 2.3 (for IT Professionals) 提供 Windows 作業系統、IIS、SQL 伺服器的安全掃描，而不是掃描網站應用程式碼。

公司/維護者: Microsoft
作業系統: Win
授權: 商業
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Nexpose Community Edition 提供 Apache、MySQL、OpenSSL 執行環境的安全掃描，而不是掃描網站應用程式碼。報告內容有標示漏洞嚴重程度。

公司/維護者: Rapid7
作業系統: Win & Linux
授權: 商業
試用版限制: [1]
檔案掃毒: Eset 掃描 Win 版本的安裝檔 ok
掃描對象:
掃描報告內容:
填寫個資申請: 要

Retina Network Community - BeyondTrust 比較是掃描作業系統，而不是掃描網站應用程式碼。

公司/維護者: BeyondTrust
作業系統: Win
授權: 商業
試用版限制:
檔案掃毒: Eset 掃毒 ok
掃描對象:
掃描報告內容:
填寫個資申請: 要

Download Burp Suite Community Edition - PortSwigger

公司/維護者:
作業系統: Win , Linux & macOS
授權: 商業
試用版限制:
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

未測試的檢測工具

Grendel-Scan download | SourceForge.net

公司/維護者: David Byrne
作業系統:
授權:
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Arachni - Web Application Security Scanner Framework

公司/維護者: Arachni - Web Application Security Scanner Framework
作業系統: Win , Linux & macOS
授權: Arachni Public Source License v1.0
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok: Win 版本安裝檔案偵測率: 1 / 55
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Nessus Professional Free

公司/維護者: Tenable Network Security
作業系統:
授權:
試用版限制: 試用 7 天
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

Nmap Security Scanner Nmap Scripting Engine

公司/維護者: Gordon Lyon
作業系統:
授權: GNU General Public License Version 2, June 1991
試用版限制:
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請:

andresriancho/w3af: w3af: web application attack and audit framework, the open source web vulnerability scanner. [Last visited: 2016-12-16]

公司/維護者: w3af.org
作業系統: Win , Linux & macOS
授權: open source - GNU GENERAL PUBLIC LICENSE Version 2, June 1991
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題 Detection ratio: 5 / 51
掃描對象:
掃描報告內容:
填寫個資申請: 不用

sqlmap: automatic SQL injection and database takeover tool

公司/維護者: Bernardo Damele Assumpcao Guimaraes and Miroslav Stampar
作業系統:
授權: open source - GNU General Public License (GPL)
試用版限制:
檔案掃毒: VirusTotal 掃描 ok [2]
掃描對象:
掃描報告內容:
填寫個資申請: 不用

原始碼與相依套件檢測

此類工具檢查原始碼或專案使用的第三方套件，可與網站動態弱點掃描工具搭配使用。檢查結果未發現問題，不代表系統沒有漏洞。

SonarQube

SonarQube 提供原始碼靜態分析，可檢查程式品質問題與部分安全問題，不需先將網站部署上線。實際支援的程式語言與安全分析功能依版本而異。

公司/維護者: SonarSource
執行方式: Community Build 與 Server 需自行架設；Cloud 為官方代管服務。
授權與費用: Community Build 為免費開源版本，但需自行負擔主機與維護成本；Server 商業版需付費；Cloud 有免費與付費方案。
掃描對象: 專案原始碼。
檢測結果: 程式問題的位置、規則說明與修正建議；安全檢測範圍依語言與版本而異。
使用限制: 免費版與商業版的功能不同，應依所需語言及分析功能確認版本。
帳號需求: 自架版使用自行管理的帳號；Cloud 需註冊帳號。

GitHub Dependabot

GitHub Dependabot 檢查專案相依套件是否有已知安全漏洞，並可自動建立更新用的 Pull Request（PR，合併請求）。主要檢查第三方套件，並非分析自行撰寫的程式碼是否有 SQL Injection、XSS 等漏洞。

公司/維護者: GitHub
執行方式: GitHub 整合服務，不需在本機安裝掃描軟體。
授權與費用: GitHub Dependabot 建立 PR 後，若觸發另外設定的測試、建置等 Actions 工作流程，仍依一般 Actions 規則計算用量。公開儲存庫使用標準 GitHub-hosted runner 執行 Actions 免費；larger runner 另行計費。詳細費率請參考 GitHub Actions 計費說明。
掃描對象: 支援的套件生態系中，已被相依性圖譜辨識的套件與版本。
檢測結果: 已知漏洞警示、嚴重程度、受影響套件與修補版本等資訊。
自動更新: 安全更新會嘗試建立修補漏洞的 PR；版本更新則依 dependabot.yml 的設定，定期建立套件更新 PR。
使用限制: 受支援的套件生態系、相依套件辨識能力與已知漏洞資料所限制，無法保證找出所有漏洞。
帳號需求: 需要 GitHub 帳號，以及儲存庫的相應管理權限。

不建議使用

由於試用版功能限制或者是安裝檔的 VirusTotal 掃毒結果有疑慮，所以不推薦。

Website security with Acunetix v.11 產生報表可區分 ISO 27001, NIST SP800 53, OWASP Top 10 2013, PCI DSS 3.2, Sarbanes Oxley, STIG DISA, WASC Threat Classification 等類型。報告內容有標示漏洞嚴重程度。

公司/維護者: Acunetix
作業系統: Win
授權: 商業
試用版限制: (1) 只能試用 14 天、(2) 掃描報告會說有怎樣的風險問題(vulnerability)，但是不會說明問題是出在哪個地方
檔案掃毒: VirusTotal 掃描結果 ok
掃描對象:
掃描報告內容:
填寫個資申請: 要

IBM Security AppScan Standard

公司/維護者: IBM
作業系統: Win
授權: 商業
試用版限制: 只能掃描 demo.testfire.net
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

Golismero Project. The web knife. v. 2.0.0b6 (github)

公司/維護者: Golismero
作業系統: Win , Linux & macOS 需要可執行 Python 環境
授權: GNU GENERAL PUBLIC LICENSE Version 2, June 1991 (LICENSE 檔案)
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題偵測率: 5/54、使用 Eset Endpoint Antivirus 掃描 ok
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Te-k/phpscanner: Php Scanner for malicious files

公司/維護者:
作業系統:
授權: MIT License
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題偵測率: 3 / 55
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Dynamic Analysis, DAST, Penetration Testing Tools | Hewlett Packard Enterprise

公司/維護者: HP
作業系統: Win
授權: 商業
試用版限制: (1)只能試用 15 天、(2) 只能掃描 zero.webappsecurity.com
檔案掃毒:
掃描對象:
掃描報告內容:
填寫個資申請: 要

Vega Vulnerability Scanner

公司/維護者: subgraph
作業系統: Win , Linux & macOS 不過 Win & macOS 版本啟動或安裝遇到問題。
授權: EPL (Eclipse Public License) 1.0.
試用版限制:
檔案掃毒: VirusTotal 掃描結果 ok [3][4][5]
掃描對象:
掃描報告內容:
填寫個資申請: 不用

OWASP Xenotix XSS Exploit Framework - OWASP

公司/維護者: OWASP
作業系統: Win
授權: Creative Commons Attribution-ShareAlike 3.0
試用版限制:
檔案掃毒: VirusTotal 掃描結果有問題偵測率: 5 / 47
掃描對象:
掃描報告內容:
填寫個資申請: 不用

Burp Suite Free Edition v.1.7.14

公司/維護者: PortSwigger Web Security
作業系統: Win , Linux & macOS
授權: 商業
試用版限制: 功能或時間限制
檔案掃毒: VirusTotal 掃描結果 ok [6][7], jar 檔 Detection ratio: 2 / 54
掃描對象:
掃描報告內容:
填寫個資申請: 不用

軟體名稱
* 公司/維護者: 
* 作業系統: 
* 授權:
* 試用版限制: 
* 檔案掃毒:
* 掃描對象: 
* 掃描報告內容:
* 填寫個資申請: