- 综合排序
- 最热优先
- 最新优先
- 来自专栏Bypass
镜像安全扫描工具
镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。 本文分享两个比较常用的镜像安全扫描工具，它们可以帮助我们识别容器镜像中的漏洞和弱点。 1、Trivy Trivy是一个全面的多功能安全扫描器，支持在容器镜像、Kubernetes、代码存储库、AWS中查找漏洞、错误配置、敏感信息和密钥、SBOM等。 支持脚本命令行扫描，也可以下载单一工具扫描。 单一工具扫描提供了一种比较灵活的方式，在攻防过程中有很多应用的场景，比如扫描弱口令/敏感信息/逃逸风险等检测工具可用来做攻击方手段，后门/webshell/入侵痕迹等检测工具可作为防守方分析容器安全事件的利器
1.1K30编辑于 2023-11-07 容器安全-镜像扫描
前言容器镜像安全是云原生应用交付安全的重要一环，对上传的容器镜像进行及时安全扫描，并基于扫描结果选择阻断应用部署，可有效降低生产环境漏洞风险。 容器安全面临的风险有：镜像风险、镜像仓库风险、编排工具风险，小德今天就跟大家聊一聊镜像风险中的镜像扫描。 镜像扫描是什么？ 伴随着容器的流行，它也成为黑客攻击的对象，容器安全受到重视。在容器安全方面，镜像安全是保护容器安全的基础，镜像扫描是解决镜像安全问题的基础手段。针对镜像风险问题，有效提升镜像扫描能力是关键。 保持容器镜像安全的两个方案方案1：在镜像注册表中定期扫描通过这种方式，我们需要为镜像注册表添加一个安全扫描程序，扫描程序可以是一个定时任务（Cron Job） 作业，也可以是由特定的人触发的可执行操作。 镜像扫描作为整个蜂巢·云原生安全平台中的重要部分，正在发挥着越来越重要的作用。
1.1K10编辑于 2024-04-27- 来自专栏前端小馆
Web 安全之恶意扫描
他告诉我可能是扫描。我就给领导说了应该是扫描造成的（虽然我也不知道什么是扫描），明天去了再进一步看看。 黑客为了对攻击目标进行多方了解，最常用的途径就是利用扫描工具对目标用户网络进行端口及漏洞扫描，查看服务器的运行状态等基本信息，一旦发现安全漏洞就会利用其实施攻击，最终达到非法入侵的目的。 因此，要想降低安全事件发生的概率，我们必须从源头阻止黑客的攻击。 通过防扫描的方式阻止黑客“恶意探测”，让用户在第一时间发现安全威胁并阻止黑客扫描行为，从而提升黑客攻击成本，为自身赢得宝贵的应对时间，大幅度降低黑客侵入企业内网的风险。 攻击者可能利用扫描发现一些安全漏洞，进而攻击服务器。 WAF 引用百度百科的描述来看： Web应用防护系统（也称为：网站应用级入侵防御系统。
1.6K40发布于 2021-10-19 - 来自专栏人工智能领域
安全漏洞代码扫描
安全漏洞代码扫描是确保软件安全的重要步骤，它可以帮助发现潜在的安全问题，从而在软件发布之前修复它们。 集成到开发流程：将代码扫描集成到持续集成/持续部署（CI/CD）流程中，确保每次代码提交或合并请求都会触发安全扫描。 2.扫描过程 静态应用程序安全测试（SAST）： SAST 工具在不需要执行代码的情况下分析源代码、字节码或二进制代码，以寻找安全漏洞。 更新规则和策略：随着安全威胁的发展，定期更新扫描规则和策略。 跟踪安全趋势：关注最新的安全趋势和漏洞，及时调整安全测试策略。 进行代码安全扫描是一个持续的过程，应该成为软件开发和维护的一部分。通过自动化的工具和流程，可以有效地减少安全漏洞，提高软件的安全性。
1.1K10编辑于 2024-12-18 - 来自专栏糖果的实验室
安全扫描调度系统实践
0×01 需求背景 日常扫描行为是一个常见的需求，同时我们希望，可以更方便的进行定制自动化扫描任务制定与执行。 如果把 AWVS 换成其它的安装扫描工具，可否按同样的思路降低工具使用的流程复杂度，让安全工具的使用更自动化遍历，最初构建这个项目时考虑的，这次我们通过 AWVS 这个例子，来实践这种可能性。 python manage.py dsl -d lua.ren Django Command 的功能实现，是整个调用时序的入口，假设扫描的需求和设置很简答，只有一个扫描域名的设定。 2. 3.1 测试认证过程 @pytest.mark.scan def test_5(setup_module): import awvs ins = awvs.AWVS() ins.auth 因为我们最开始是考虑用新加的 REST API 作与外部调用者进行通信，在 REST API 做入参检查，并且 REST API 不需求外部调用者调用时，要依赖安全 RPC 客户端。 5.
1.6K10发布于 2019-11-20 - 来自专栏ThoughtWorks
容器安全扫描工具推荐
随着越来越多的应用程序被容器化，容器安全也随之变得越来越重要。在项目的流水线中， 我们可以使用漏洞扫描器进行扫描并提前获得反馈，实现 “安全左移” ，也可以更好的实践敏捷。 代码库由我们的业务代码和依赖关系组成；对于依赖项，我们可以使用专业的扫描工具来确保安全，比如 NodeJS 的 npm audit , GitHub 的 Dependabot；至于我们的业务代码，可以使用其他的一些安全工具可以扫描 保持容器镜像安全的 两个方案 方案1：在镜像注册表中定期扫描 通过这种方式，我们需要为镜像注册表添加一个安全扫描程序，扫描程序可以是一个定时任务（Cron Job） 作业，也可以是由特定的人触发的可执行操作 容器安全扫描工具对比 针对上述解决方案，我们调查了 Trivy、Claire、Anchore Engine、Quay、Docker hub 和 GCR 等几种扫描工具，从不同维度进行对比。 我们可以将 “安全左移（Shift Left Security）”，这样就可以减少生产环境中的安全风险；对于扫描工具 Trivy 来说，它对于保证镜像的安全性非常有用，它不仅可以扫描镜像，还可以扫描 Git
2.7K30编辑于 2021-12-28 - 来自专栏云安全
Trivy：容器安全扫描神器
个配置错误（据 Gartner 2024 年报告）· 合规风险：开源组件的许可证问题可能导致高达千万级的法律诉讼二、什么是Trivy Trivy是一款开源的安全扫描工具，专注于检测容器镜像、文件系统和代码仓库中的已知漏洞和配置错误 Trivy 以其扫描速度快、易于集成和实时更新的漏洞数据库而著称，广泛应用于 CI/CD 流水线、本地开发环境和容器镜像仓库的安全监控中。 结果处理器提供 HTML、JSON、SARIF 等 12 种输出格式，兼容主流安全编排工具技术创新点：无状态设计：通过trivy db命令实现独立数据库管理，避免扫描器与数据库耦合增量更新：每次更新仅下载变更部分 运维阶段：集成 Prometheus 监控扫描指标Grafana 可视化安全态势（二）大规模集群防护在某互联网公司的 5000 节点 Kubernetes 集群中，通过以下配置实现高效扫描：使用 DaemonSet 通过整合漏洞扫描、配置审计与合规管理功能，它帮助组织在镜像构建、仓库管理与生产运行环节建立系统性防护。然而，容器安全是持续演进的挑战，Trivy 更应被视为安全体系的重要组件而非终极答案。
1.7K10编辑于 2025-03-14 - 来自专栏云头条
中央集采安全软件：17 家中标安全管理中心、9 家基线扫描、13 家漏洞扫描、16 家日志审计、5 家终端安全
本次征集分五包，具体品目如下： 第一包、安全管理中心（SOC）软件 第二包、基线扫描软件 第三包、漏洞扫描软件 第四包、日志审计软件 第五包、终端安全软件 中标结果 2021年8月30日成交公告发布， 北京安数云信息技术有限公司 杭州安恒信息技术股份有限公司 北京天融信网络安全技术有限公司 北京安天网络安全技术有限公司 上海汉邦京泰数码技术有限公司 北京兰云科技有限公司 成都科来网络技术有限公司 成都卫士通信息安全技术有限公司 北京江南天安科技有限公司 中标供应商： 第二包基线扫描软件 共有18家响应人参与响应，其中北京网御星云信息技术有限公司、北京启明星辰信息安全技术有限公司、北京鸿腾智能科技有限公司、北京安数云信息技术有限公司 西安交大捷普网络科技有限公司 远江盛邦（北京）网络安全科技股份有限公司 北京神州绿盟科技有限公司 北京升鑫网络科技有限公司 中标供应商： 第三包漏洞扫描软件 共有26家响应人参与响应，其中北京网御星云信息技术有限公司 ： 第五包终端安全软件 共有25家响应人参与响应，其中北京网御星云信息技术有限公司、北京启明星辰信息安全技术有限公司、北京江民新科技术有限公司、北京杰思安全科技有限公司、北京瑞星网安技术股份有限公司、
1.8K30编辑于 2022-03-18 Cookie 安全扫描问题修复
背景AppScan 是一款商用安全扫描软件，“跨站点请求伪造” 和 “加密会话（SSL）Cookie 中缺少 Secure 属性” 是扫描出来的两个较为常见的问题。 注意：需要使用 HCL AppScan Standard 这个版本，如果使用 IBM Security AppScan Standard 可能会存在扫描误报，测试下来是有这个现象，具体原因未知。 Cookie 安全属性HttpOnly在 Cookie 中设置 HttpOnly 属性之后，通过 JS 等程序脚本在浏览器中将无法读取到 Cookie 信息。防止程序拿到 Cookie 之后进行攻击。
1.6K10编辑于 2024-04-08- 来自专栏电光石火
Nmap安全扫描器
Nmap安全扫描器介绍： Nmap（"网络映射器"）是免费开放源代码（许可证）实用程序，用于网络发现和安全审核。 Nmap安全扫描器规格参数： 用法：nmap [扫描类型] [选项] {目标规范} - 目标规格： 可以传递主机名，IP地址，网络等。 -T <0-5>：设置时序模板（越高越快） --min-hostgroup / max-hostgroup <大小>：并行主机扫描组大小 --min-parallelism / max-parallelism 平均而言，根据网络状况，Nmap每台主机少发送5-10个数据包。如果正在扫描单个子网（即192.168.0.0/24），则Nmap可能只需要向大多数主机发送两个数据包。 如果所有传输数据的5％以上不可打印，则跟踪输出为十六进制转储格式。指定--packet-trace也会启用脚本跟踪。
2.5K40编辑于 2023-02-03 - 来自专栏桃子小白
【安全】漏洞扫描web实例
点New Scan，添加一个新的扫描 选择第一个高级扫描（Advanced Scan），出现图2-13所示界面。 保存“My Scans”后，点击“start scan”就可以开始扫描了。还可以根据自己需求设置定时扫描，扫描后将会把扫描报告发送到指定邮箱。 扫描报告： 使用AWVS13扫描漏洞 安装软件 运行AcunetixWVS看到如图2-7所示界面，点击Add Target添加扫描目标，在弹出的窗口（图略）中添加地址信息Address和描述信息Description 配置完就可以点击Scan（扫描）窗口，选择Scan Type（扫描类型，可以选择FullScan完全扫描），选择Report（报告类型）和Schedule（明细清单），点击CreateScan就开始进行漏洞扫描了 根据网站规模和复杂程度的不同，扫描过程会持续不等的时间，一般耗时较长 扫描成功
1.1K50编辑于 2023-09-07 - 来自专栏FreeBuf
安全扫描调度系统实践
0x01 需求背景 日常扫描行为是一个常见的需求，同时我们希望，可以更方便的进行定制自动化扫描任务制定与执行。 如果把 AWVS 换成其它的安装扫描工具，可否按同样的思路降低工具使用的流程复杂度，让安全工具的使用更自动化遍历，最初构建这个项目时考虑的，这次我们通过 AWVS 这个例子，来实践这种可能性。 3.1 测试认证过程 @pytest.mark.scan def test_5(setup_module): import awvs ins = awvs.AWVS() ins.auth 因为我们最开始是考虑用新加的 REST API 作与外部调用者进行通信，在 REST API 做入参检查，并且 REST API 不需求外部调用者调用时，要依赖安全 RPC 客户端。 5. *本文原创作者：糖果L5Q，本文属FreeBuf原创奖励计划，未经许可禁止转载
1.8K10发布于 2019-07-15 【网络安全实验】网络扫描
作用：及时发现系统中存在的安全隐患，为安全修复提供依据。通过漏洞扫描，管理员可以了解系统的安全状况，采取相应的措施来修复漏洞，降低系统被攻击的风险。 主动扫描和被动扫描是网络安全领域中用于获取网络信息和检测安全漏洞的两种不同方式，下面是详细介绍： 1.3主动扫描 1.3.1定义： 主动扫描就是用户主动发送一些数据包进行扫描，以找到网络中活动的主机 pwd=8uf5 提取码: 8uf5 2.使用wireshark进行网络扫描分析 在win10上访问靶机网页，使用wireshark开始捕获 筛选与靶机进行通信的数据 在过滤框输入过滤语句 sudo nmap -sP 192.168.127.132/24 可以看到扫描出了该网络号下的5台主机，其中包括1为物理机的虚拟网卡IP，2为网关，132为靶机IP（因为扫描端和服务器端在同一网段下 MAC 地址：00:0C:29:E2:4A:D7，制造商为 VMware，表明目标主机可能是一个虚拟机 5.在Windows上使用Zenmap扫描靶机 Intense scan强烈扫描的结果： 输出信息
37410编辑于 2026-01-13- 来自专栏全栈程序员必看
一些安全扫描工具_web弱口令扫描工具
3、 消息完整性验证：消息传输过程中使用基于MD5 或 SHA的 MAC 算法来检验消息的完整性。 公司开发的加密库，其中包含了密钥导出函数：PKCS5-deriveKey(…)，可以直接调用该函数导出加密的密钥。Java中请参考类 PBEKeySpec。 合作方应在编码阶段进行代码安全扫描，解决高风险的代码安全问题；应提供通信矩阵并说明所有开放端口的用途，测试阶段进行病毒扫描、端口扫描、漏洞扫描和Web安全测试。 ，8月底之前汇报安全体系建立进展情况 稽核 对外包项目进行抽查，审计网络安全要求落实执行情况 半年度例行稽核 软件安全：业务流程维度措施 工具分类 工具名称 工具类型 供应商 端口扫描* Nmap 免费工具 / 系统层漏洞扫描* Nessus 商用工具 Nessus Web安全扫描* APPSCAN 商用工具 IBM 协议畸形报文测试 Codenomicon 商用工具 Codenomicon 协议畸形报文测试
1.8K10编辑于 2022-11-10 - 来自专栏Bypass
常用Web安全扫描工具合集
5、开源漏洞检测框架 以POC-T、pocsuite、pocscan、Osprey等为代表的开源项目，提供了可自定义的漏洞检测框架，Poc数量和质量，决定了检测效果，漏洞库的积累就显得尤为重要。 6、IAST 灰盒扫描工具 如果我们的定位是在SDL的安全测试过程中，相比起黑盒测试方案，IAST则是一种新的安全测试方案。 7、商业Web应用扫描器 一些安全厂商提供了漏扫产品，不过在细分领域其实还有是一定区别的，比如有专门做Web应用安全扫描的，也有综合性漏洞扫描的，还有做Web安全监测的扫描产品，都有提供了一定的Web应用漏洞扫描的能力 部分安全厂商及扫描产品汇总： 绿盟 绿盟WEB应用漏洞扫描系统(WVSS) 绿盟远程安全评估系统(RSAS) 启明 天镜脆弱性扫描与管理系统 安恒 Web应用弱点扫描器 （MatriXay 明鉴远程安全评估系统 奇安信 网神SecVSS3600漏洞扫描系统 盛邦安全 Web漏洞扫描系统（RayWVS） 远程安全评估系统（RayVAS) 斗象科技
8.8K12发布于 2021-04-26 - 来自专栏测试开发技术
常用Web安全扫描工具合集
漏洞扫描是一种安全检测行为，更是一类重要的网络安全技术，它能够有效提高网络的安全性，而且漏洞扫描属于主动的防范措施，可以很好地避免黑客攻击行为，做到防患于未然。那么好用的漏洞扫描工具有哪些？ 1、AWVS Acunetix Web Vulnerability Scanner（简称AWVS）是一款知名的网络漏洞扫描工具，它通过网络爬虫测试你的网站安全，检测流行安全漏洞。 2、IBM AppScan AppScan是IBM的一款web安全扫描工具，可以利用爬虫技术进行网站安全渗透测试，根据网站入口自动对网页链接进行安全扫描，扫描之后会提供扫描报告和修复建议等。 官方网站：https://xray.cool 5、Nessus Nessus是一款网络漏洞扫描器，可以帮助用户发现网络中存在的安全漏洞和风险。 它可以扫描各种操作系统、应用程序和设备，包括服务器、路由器、交换机、桌面电脑和移动设备等。Nessus可以自动化扫描、评估和报告漏洞，帮助用户快速识别和解决网络安全问题。
1.5K31编辑于 2023-09-11 - 来自专栏电子电路开发学习
强大的JTAG边界扫描5-FPGA边界扫描应用
上一篇文章，介绍了基于STM32F103的JTAG边界扫描应用，演示了TopJTAG Probe软件的应用，以及边界扫描的基本功能。 本文介绍基于Xilinx FPGA的边界扫描应用，两者几乎是一样。 1. 获取芯片的BSDL文件 FPGA的BSDL文件获取方式，可以参考之前的文章：BSDL文件获取。 边界扫描测试 打开TopJTAG新建工程，选择JTAG设备为JLink 如果连接正常，会显示当前连接芯片的IDCODE 指定BSDL文件路径，并进行IDCODE校验。 总结 和单片机不同，大多数FPGA芯片都是BGA封装的，管脚个数从200至1000不等，这也就意味着需要多层PCB来进行硬件设计，密集的引脚和PCB的内层走线，会导致故障的排查越来越困难，通过边界扫描， 更多精选 强大的JTAG边界扫描4-STM32边界扫描应用 强大的JTAG边界扫描3-常用边界扫描测试软件 强大的JTAG边界扫描2-BSDL文件 强大的JTAG边界扫描1-基本原理 中国移动万耦天工开发板试用评测
1.4K40编辑于 2023-09-18 IDE安全扫描插件技术实现
作者：Staff writer，2023年8月21日，阅读时长6分钟为大多数开发者构建高质量软件通常遵循一个熟悉的流程：在集成开发环境（IDE）中的计算机上编写代码，然后，为了检查是否存在安全漏洞，将代码上传到中央存储库并运行安全扫描 扫描结果会显示在Web浏览器的仪表板上，与IDE分离。Linghui Luo在2020年于某中心实习的五个月期间，被要求重新思考这个工作流程。在此过程中，她提出了一种对代码运行安全扫描的新方法原型。 简化安全扫描Luo的工作使开发者更容易使用Amazon CodeGuru Security，该工具可以识别关键问题、安全漏洞和难以发现的错误。 在云端，用户可以集中追踪和存储问题，并且每次扫描的运行效率都高于在单台机器上运行。 虽然有些工具已经可以在IDE内部进行静态分析，但通常是“轻量级”扫描，只能捕捉明显的问题，最多耗时约10秒。而另一方面，静态应用程序安全测试会更深入地检查代码。
8610编辑于 2026-04-20- 来自专栏黑战士安全
扫描技术（web安全入门06）
一、扫描神器 nmap 1、官网：nmap.org 2、跨平台 3、自动集成在 kali 4、如果使用 kali 中的 nmap 扫描的时候，建议桥接 5、如果在没有指定端口的情况下，默认扫描 top -O 获取操作系统类型（不太准确） -oN/-oX 保存扫描结果，txt/xml -A 全面扫描 -T0 ~ -T5 时序选项 1.4 命令 nmap nmap 127.0.0.1 nmap 192.168.1.0 我们可以通过网络漏洞扫描，全网络漏洞扫描面掌握目标服务器存在的安全隐患。 OpenVAS 使用 NVT （基于漏洞库扫描）脚本对多种远程系统（包括 Windows、Linux、UNIX 以及 Web 应用程序）的安全问题进行检测 2.1 漏洞扫描原理 网络漏洞扫描是指利用一些自动化的工具发现网上的各类主机设备的安全漏洞 如何即时、快速的发现漏洞，并且修补漏洞，减轻和消除 Web 安全风险成为安全行业的重 要课题。
1.2K10编辑于 2022-01-30 - 来自专栏FreeBuf
安全扫描工具Nmap引擎理解文档
端口扫描：用于扫描主机上端口状态。 探测出潜在漏洞 intrusive：入侵性的脚本，此类脚本可能引发对方的IDS/IPS的记录或屏蔽 malware：探测目标机是否感染了病毒、开启了后门等信息 safe：此类与instrusive相反，属于安全性脚本 main()函数负责处理三种类型的脚本扫描：预扫描（SCRIPT_PRE_SCAN）、脚本扫描（SCRIPT_SCAN）、后扫描（SCRIPT_POST_SCAN）。 预扫描即在Nmap调用的最前面（没有进行主机发现、端口扫描等操作）执行的脚本扫描，通常该类扫描用于准备基本的信息，例如到第三服务器查询相关的DNS信息。 而脚本扫描，是使用NSE脚本来扫描目标主机，这是最核心的扫描方式。后扫描，是整个扫描结束后，做一些善后处理的脚本，比如优化整理某些扫描。 在main()函数中核心操作由run函数负责。
2.4K70发布于 2018-02-02
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号