- 综合排序
- 最热优先
- 最新优先
- 来自专栏后端码匠
GitHub 官方代码扫描工具上线！
今年 5 月的 Github Satellite 2020 大会，GitHub 率先推出了代码扫描功能的 beta 版，免费提供开源代码扫描功能。 据 GitHub 介绍，在内测阶段，有 12000 个存储库接受了代码扫描，扫描次数达到 140 万次，总共发现了 20000 多个安全问题，包括远程代码执行（RCE）、SQL 注入和跨站脚本（XSS） 经过几个月来众多开发者的的测试与反馈，九月的最后一天，GitHub 宣布「代码扫描」正式上线了。 ? 目前，代码扫描面向公共存储库是免费的。 代码扫描功能首先是基于开发者的需求设计的，默认情况下，代码扫描不会提供过多的建议以免造成干扰，只会在保证安全的原则下运行，让开发者能够专注于手头的任务。 比如你可以设置某个项目的互动时限，24 小时、3 天、一个月、半年内。这一幕好像有点熟悉…… 不知这样的「朋友圈」，是不是符合程序员们的口味?
1.6K10发布于 2020-10-27 - 来自专栏软件测试
白盒代码扫描工具对比
对比维度Fortify SCACoverityCheckmarxTestbedKlockwork核心定位全生命周期安全审计工具，覆盖开发到部署的全流程漏洞管理高精度缺陷检测工具 ，专注代码级安全漏洞与质量缺陷动态规则驱动的代码分析平台，支持自定义安全策略代码质量度量与测试用例管理工具，侧重覆盖率监控二进制与源码混合分析工具，军工级安全认证支持语言30+种（Java、C/ +AST/DOM/DFG解析，支持未编译代码扫描基于测试用例的静态分析，集成度量模型与覆盖率计算二进制反汇编+控制流分析，支持混合语言交叉检测部署方式本地/云端混合部署，支持CI/CD流水线集成本地部署为主 规则优化）低（基于测试用例执行结果）中等（二进制分析可能遗漏上下文）主要优势• 多语言支持最全面• 漏洞路径可视化• 支持IDE插件集成• 误报率最低• 过程间数据流分析能力• 支持百万行代码快速扫描 军工级安全认证• 二进制与源码混合分析• 内存越界检测专利技术典型应用场景企业级应用安全审计、全流程安全开发（DevSecOps）大型C/C++项目缺陷检测、高可靠性系统开发Web应用快速安全扫描
45510编辑于 2025-10-14 - 来自专栏工程师的分享
Golang代码漏洞扫描工具介绍——trivy
本身，而且golang代码的漏洞扫描工具，毕竟作为服务端的程序，安全性一直是一个不同忽视的地方 Trivy Trivy介绍 Trivy是不是是一款功能强大的漏洞扫描工具，它的应用场景不仅仅在代码层面 所以一般建议使用在CI的流水线上，而且，由于具有代码扫描和镜像扫描两个能力，所以可以分别在代码合入发起时和接口用例测试前两个步骤进行添加 关于安装： 推荐一个万能的安装方式： 1.在https:/ /trivy.tar.gz 3.给可执行文件增加权限：chmod +x ./trivy 4.放入Path：mv . 构建工具，顾名思义就是用于构建（Build）的工具，构建包括编译（Compile）、连接（Link）、将代码打包成可用或可执行形式等等。 如果不使用构建工具，那么对于开发者而言，下载依赖、将源文件编译成二进制代码、打包等工作都需要一步步地手动完成。但如果使用构建工具，我们只需要编写构建工具的脚本，构建工具就会自动地帮我们完成这些工作。
3.8K130编辑于 2023-10-08 - 来自专栏代码审计网
源代码扫描工具checkmarx体验报告
在开发过程中，优秀的源代码扫描工具可以帮助我们快速扫描漏洞，高效完成源代码缺陷修复。 少漏报和误报率低的工具是我们的首选，我最近试用了许多源代码扫描工具和方案，其中checkmarx, DMSCA（端玛科技企业级源代码安全和质量缺陷扫描分析服务平台），可以免费试用三次，我发现扫描效果很不错 ，是一款最能解决软件安全问题的工具，下面为做开发的朋友们演示下我的试用效果： 微信图片_20200629140540.jpg 微信图片_20200629140600.jpg 微信图片_20200629140610
3.5K10发布于 2020-07-01 - 来自专栏工程师的分享
Golang代码漏洞扫描工具介绍——trivy
Golang代码漏洞扫描工具介绍——trivy Golang作为一款近年来最火热的服务端语言之一，深受广大程序员的喜爱，笔者最近也在用，特别是高并发的场景下，golang易用性的优势十分明显，但笔者这次想要介绍的并不是 golang本身，而且golang代码的漏洞扫描工具，毕竟作为服务端的程序，安全性一直是一个不同忽视的地方 Trivy Trivy介绍 Trivy是不是是一款功能强大的漏洞扫描工具，它的应用场景不仅仅在代码层面 所以一般建议使用在CI的流水线上，而且，由于具有代码扫描和镜像扫描两个能力，所以可以分别在代码合入发起时和接口用例测试前两个步骤进行添加 关于安装： 推荐一个万能的安装方式： 1.在https://> /trivy.tar.gz 3.给可执行文件增加权限：chmod +x ./trivy 4.放入Path：mv . 构建工具，顾名思义就是用于构建（Build）的工具，构建包括编译（Compile）、连接（Link）、将代码打包成可用或可执行形式等等。
1K40编辑于 2023-10-12 - 来自专栏工程师的分享
Golang代码漏洞扫描工具介绍——govulncheck
Golang作为一款近年来最火热的服务端语言之一，深受广大程序员的喜爱，笔者最近也在用，特别是高并发的场景下，golang易用性的优势十分明显，但笔者这次想要介绍的并不是golang本身，而且golang代码的漏洞扫描工具 govulncheck 终于有了1.0.0的发布版本，在官方文档中https://go.dev/blog/govulncheck中，一起发布的还有一份官方的安全最佳实践指引 ****：里面包含了以下几个方面： 1.定期扫描源代码和二进制库 ——推荐用govulncheck 2.更新golang版本和依赖库版本 3.通过模糊测试发现边缘情况漏洞** 4. #Go的race detector检查多协程竞争的情况 5.使用Vet命令检查代码潜在的问题 看的出来golang安全团队在这里是下了大的功夫，这里主要介绍下第一个工具：govulncheck govulncheck 该工具可以分析代码库和二进制文件，并通过优先考虑实际调用你代码的函数中的漏洞来减少干扰。
79830编辑于 2023-10-12 - 来自专栏信安之路
静态代码扫描方法及工具介绍
本文作者：国勇（信安之路特约作者） 静态扫描就是不运行程序，通过扫描源代码的方式检查漏洞，常见的方法也有多种，如把源代码生成 AST（抽象语法树）后对 AST 进行分析，找出用户可控变量的使用过程是否流入到了危险函数 Javascript 扫描工具介绍 下面分别介绍两款工具，jsprime 和 NodeJSScan 的介绍与实现原理，其中 jsprime 是通过分析 AST 扫描，NodeJSScan 是通过正则表达式扫描 效果图，左边是源码，右边是分析结果 jsprime 是一个静态代码分析工具，其核心是基于 Esprima ECMAScript 生成 AST 进行扫描，此工具有在 blackhat 上演讲过，他的主要功能有 //localhost:8888 5、把代码贴到框中进行分析 6、有一些测试代码，可参考： https://docs.google.com/document/d/17J2h43WbPX3sNTIjxr4GhzEGxKy6hvQJqedd3UQ11mY NodeJSScan 是一套用 python 实现的 node 应用代码扫描器，他的原理是通过正则表达式来匹配源码文件中的每一行，每个正则表达式都代表一种漏洞扫描规则，如是否使用了 url 中的值当成
8.9K20发布于 2019-04-25 - 来自专栏腾讯移动品质中心TMQ的专栏
iOS 静态代码扫描之工具调研
作者：黄雪兰 团队：腾讯移动品质中心TMQ 为了进一步加强测试质量，同时探索测试左移在同步中的实践，iOS同步助手尝试接入静态代码扫描工具。希望通过不同的途径提前发现日常测试中难发现的问题。 然而iOS静态代码扫描工具有不少，它们都有什么不同？我应该选哪一个？因此，本文主要针对主流的几个工具，对同步助手的代码进行扫描，并分析对比它们的扫描结果，再敲定后续的接入计划。 该文章从以下几部分进行阐述，可按需阅读： 一、工具介绍 二、遇到的坑点 三、扫描能力对比 四、部分结果分析 一、工具介绍 本次选取了四个主流的扫描工具： coverity、infer、clang、oclint 三、扫描能力对比 在未加任何过滤规则的情况下，四个工具对同一份代码进行扫描，并于开发童鞋一起对扫描结果进行了初步筛选和整理： （1）准确率：coverity > infer >clang > oclint ； （4）oclint扫描出的问题数量最多，但大多是开发不关注的问题，可过滤特定结果类型关注，更适合作为扫描代码复杂度的工具。
6.9K10发布于 2017-08-17 - 来自专栏工程师的分享
Golang代码漏洞扫描工具介绍——govulncheck
GolangGolang作为一款近年来最火热的服务端语言之一，深受广大程序员的喜爱，笔者最近也在用，特别是高并发的场景下，golang易用性的优势十分明显，但笔者这次想要介绍的并不是golang本身，而且golang代码的漏洞扫描工具 govulncheck 终于有了1.0.0的发布版本，在官方文档中https://go.dev/blog/govulncheck中，一起发布的还有一份官方的安全最佳实践指引 ****：里面包含了以下几个方面： 1.定期扫描源代码和二进制库 ——推荐用govulncheck 2.更新golang版本和依赖库版本 3.通过模糊测试发现边缘情况漏洞** 4. #Go的race detector检查多协程竞争的情况 5.使用Vet命令检查代码潜在的问题 看的出来golang安全团队在这里是下了大的功夫，这里主要介绍下第一个工具：govulncheckgovulncheckgovulncheck 该工具可以分析代码库和二进制文件，并通过优先考虑实际调用你代码的函数中的漏洞来减少干扰。
1.4K00编辑于 2023-09-15 - 来自专栏啄木鸟软件测试
代码静态扫描工具集成与实践
一、静态扫描工具概述 代码静态扫描工具（Static Application Security Testing, SAST）是在不运行代码的情况下，通过分析源代码或二进制代码来发现潜在安全漏洞、代码缺陷和质量问题的工具 Python生态 推荐工具： ·Pylint：代码质量分析 ·Flake8：PEP8风格检查 ·Bandit：安全漏洞扫描 ·mypy：静态类型检查 ·SonarQube：支持Python分析 集成方案 ： ·SonarScanner for .NET ·Roslyn Analyzers：微软官方分析器 ·Security Code Scan：安全漏洞扫描 ·FxCop：代码分析工具 集成方案： xml 2.定制规则集：根据团队情况调整规则严格度 3.自动化集成：将扫描集成到开发流程中 4.定期审查：定期评估规则的有效性和误报率 5.教育团队：让开发者理解规则背后的原因 五、常见问题处理 1.误报处理 ： o通过注释或配置文件排除特定情况 o定期审查和调整规则 2.性能优化： o增量扫描而非全量扫描 o并行执行检查 o缓存中间结果 3.结果整合： o使用统一仪表板展示结果 o设置合理的质量门禁 通过合理选择和配置静态扫描工具
82910编辑于 2025-08-14 - 来自专栏Khan安全团队
Python3 - 编写web目录扫描工具
实现工具所需的库线程，argparse，请求，sys，队列代码编写和测试插入linux系统（彩色字体输出可能只支持linux系统） 用了多线程和轴向优化扫描速度 用了argparse 主要功能为获取请求请求响应后返回的HTTP状态码判断是否为200，302，403，500等 实现功能主要代码为 #这里使用head请求，只获取报头 resp = requests.head(urls) 项目地址：http://www.khan.org.cn/index.php/2020/01/29/web目录扫描/ 手握日月摘星辰，安全路上永不止步。
1.3K20发布于 2020-03-10 - 来自专栏python3
Python3小工具——结合nmap扫描
一、工具说明 调用nmap库实现端口扫描 二、演示一下的利用效果 三、代码+注释 import nmap import argparse def nmapScan(Host, Port): # 调用nmap的PortScanner类 nm = nmap.PortScanner() # 使用scan方法进行扫描 results = nm.scan(Host, str(
97010发布于 2020-01-03 代码扫描工具选型，SonarQube和sourcefare深度对比
SonarQube是一款常用的代码扫描工具，sourcefare作为一款新兴的国产代码扫描工具，两款工具各有特点。本文将从安装配置、功能、用户体验等几个方面来详细的对比下。 模块功能SonarQubesourcefare项目管理项目管理✔✔用户管理✔✔权限管理✔✔代码扫描Git扫描✔✔代码压缩包上传扫描✖✔客户端扫描✔✔重复率扫描✔✔复杂度扫描✔✔覆盖率扫描✔✔扫描报告概览 系统设置用户管理✔（需要插件支持钉钉登录）✔权限管理✔✔消息通知方案✔✔消息配置✔（需要插件支持钉钉消息通知）✔数据备份还原✖✔IP黑白名单✖✔日志管理✖✔项目管理代码扫描扫描报告3、系统集成项目SonarQubesourcefareCICD 工具与Jenkins集成，代码提交/定时任务自动触发接口测试。 与Arbess集成，实现运行流水线自动触发代码扫描。代码仓库无与代码仓库GitPuk集成，支持扫描代码仓库代码。
36454编辑于 2025-11-13- 来自专栏全栈程序员必看
安卓漏洞扫描工具_软件漏洞扫描工具
大家好，又见面了，我是你们的朋友全栈 目录： Acunetix 漏洞扫描工具概括： 免责声明： 靶场： 工具的下载： Acunetix的安装步骤： Acunetix 使用步骤： ---- Acunetix 漏洞扫描工具概括： Acunetix 是一个自动化的 Web 应用程序安全测试工具，是通过检查 SQL 注入，跨站点脚本（XSS）和其他可利用漏洞等来审核您的 免责声明： 严禁利用本文章中所提到的漏洞扫描工具和技术进行非法攻击，否则后果自负，上传者不承担任何责任。 Acunetix 使用步骤： 第一步：添加 需要检测的网站（漏洞扫描.）（这里我扫描的是自己搭建的网站：pikachu） 然后点击是的，进行漏洞扫描. 这里可以选择：扫描类型（比如：SQL注入，xss等等.），报告（填写 报告类型），日程（扫描的时间） 第二步：查看扫描的结果（包含：漏洞信息，网站结构，活动.） 第三步：查看漏洞的信息.
7.4K20编辑于 2022-09-29 - 来自专栏网络安全abc123
第41篇：Klocwork代码审计代码扫描工具的使用教程
Part1 前言 前面几期介绍了Fortify、Checkmarx、Coverity等商用代码审计工具的使用，方便大家上手，本期介绍另一款商用代码审计工具Klocwork的使用。 Klocwork是来自加拿大的代码审计工具，同样可以支持C++、java及c#等代码的审计工作。 求助：哪位朋友有Codesecure、IBM Security AppScan Source、国产的codepecker代码审计工具的破解版或者是试用版，方便的话发我试用一下，保证不外传，保证不用于商业目的 接下来分别启动Klocwork代码审计工具的3个服务，强烈建议大家不要选择一键启动，否则服务启动失败，难以排查原因出在哪里。 扫描完成之后，执行kwgcheck，会弹出一个软件界面，点击最下边的漏洞问题条目，即可对代码漏洞进行分析和查看。 如果出现中文乱码问题，可以在这里选择UTF-8编码。
6.2K20编辑于 2023-02-24 - 来自专栏网络安全abc123
第39篇：Coverity代码审计代码扫描工具的使用教程
Part1 前言 前面几期介绍了Fortify及Checkmarx的使用，本期介绍另一款代码审计工具Coverity的使用，Coverity可以审计c、c++、Java等代码，使用起来非常麻烦，相比于 ，因此我不常用这个工具，这大概也是Coverity在国内使用量不如Fortify和Checkmarx的原因吧。 2 “中间目录”，指定输出扫描结果的文件夹，为以后生成代码审计报告做准备。 3 “构建设置”，指定Java代码的编译方法。 3 如下图所示，这是XSS代码漏洞的结果展示。 Part3 总结 1. 3.
5.2K20编辑于 2023-02-24 - 来自专栏全栈程序员必看
kali扫描工具_nmap批量扫描
功能概述：Nmap是主动扫描工具，用于对指定的主机进行扫描 历史背景：Nmap是由Gordon Lyon设计并实现的，与1997开始发布，最初设计的目的是希望打造一款强大的端口扫描工具，但是随着发展， Nmap已经变为全方面的安全工具 “NSE”脚本引擎：Nmap中的该引擎提供了可以向Nmap添加新的功能模块 nmap是一个强大的工具，如果想要深入了解，可以参考书籍《诸神之眼——Nmap网络安全审计技术揭秘 的主机进行扫描，显示的内容如下 第1行：Nmap的版本以及扫描开始的时间 第2行：是一个标题，生成的是关于192.168.43.137主机的报告 第3行：给出了目标主机的当前状态，“up”意味着该主机处于联网状态 （-sT选项）：完成了3次握手的扫描称为“全开扫描” 半开扫描（-sS选项）：由于3次握手中，最后一步的意义不大，所以扫描的时候，第三步没有进行的扫描称为“半开扫描” 建议：建议使用半开扫描，因为这种扫描速度最快 Linux 3.x或者4.x版本 六、 目标服务类型扫描 概念：之前使用nmap对主机进行扫描，已经显示了一些端口与端口对应的服务，但是这些信息只是从数据库文件中读取的，事实上端口所运行的真实服务并非你所看到的服务
3.3K20编辑于 2022-11-10 - 来自专栏网络安全自修室
wpscan扫描工具
简介 WPScan是一个扫描WordPress漏洞的黑盒子扫描器，可以扫描出wordpress的版本，主题，插件，后台用户以及爆破后台用户密码等，Kali Linux默认自带了WPScan，也可以到Github 部分命令介绍 参数 用途 –update 更新 -u/–url 后面加要扫描的站点 -e/–enumerate 枚举 u 用户名 p 枚举插件 ap 枚举所有插件 vp 枚举有漏洞的插件 t 枚举主题 -e u vp --random-agent -o result.txt 命令详解： -e使用枚举方式 u 扫描枚举用户ID1-ID10 vp扫描漏洞插件 --random-agent 使用随机请求头防止 可以前往该地址[3]使用邮箱进行申请，申请后可用--api--token参数进行载入该TOKEN 参考资料 [1] WPSCAN: "https://github.com/wpscanteam/wpscan.git " [2] Wpscan官网: "http://wpscan.org/" [3] API token注册申请地址: "https://wpvulndb.com/users/sign_up" ?
2.6K10发布于 2020-08-21 - 来自专栏程序手艺人
wifi扫描工具
scan_ssid=1 ssid="Hiwifi" psk="123456" bssid= priority=1 } wpa_cli 相当于客户端和wpa_supplicant 进行通讯, 可以查看wifi的状态, 扫描周围热点通过
1.8K20发布于 2019-02-21 - 来自专栏全栈程序员必看
常见漏洞扫描工具_web漏洞扫描工具有哪些
大家好，又见面了，我是你们的朋友全栈君 漏洞扫描 漏洞扫描是指基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为。 漏洞扫描器包括网络漏扫、主机漏扫、数据库漏扫等不同种类。 常用漏洞扫描工具： 一、Nessus 百度百科：Nessus 是目前全世界最多人使用的系统漏洞扫描与分析软件。 Nmap支持的扫描方式 ①参数-sP：对目标采用Ping扫描方式，这种方式所采用的参数为-sP。 ②参数-sS：SYN扫描，SYN扫描也称半开放扫描，是用来判断通信端口状态的一种手段。 ⑤参数-sV：服务版本探测 Nmap扫描端口举例： （1）Nmap -sP 192.168.1.5 （2）Nmap -sS 192.168.1.5 （3）Nmap -sT 192.168.1.5 Nmap -sV 192.168.1.5 推断主机操作的命令： Nmap -O -n 192.168.1.5 三、OpenVAS 百度百科：OpenVAS是开放式漏洞评估系统，也可以说它是一个包含着相关工具的网络扫描器
6.7K20编辑于 2022-09-30
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号