聚合型代码审计工具QingScan使用实践
一、简介
笔者最近看到很多公众号在推荐QingScan
这款扫描器平台,也好奇了起来,花了半小时将QingScan搭建了起来;
搭建起来之后,进入控制台中看了下QingScan的功能列表,发现除了公众号介绍的黑盒扫描功能外其实还有不少功能,我比较喜欢的是里面的白盒审计
功能,里面集成了fortify
、semgrep
、河马webshell
、kunlun-m
、sonarqube
、PHP依赖
、Python依赖
、java依赖
的扫描工具,所以写下这篇文章跟大家分享一下~
二、功能概览
我安装好QingScan后,进入QingScan控制台,最先看到的是黑盒扫描和白盒审计的统计图,以及上方的导航栏。
统计图分为了两类,如下图所示:
在上图中可以看到,
第一类是白盒审计结果统计,展示了扫描结果中的高中低漏洞比例和按照日期扫描到的结果,以及按照漏洞分类统计的比例。
第二类是主机扫描的统计结果,展示了扫描出的端口比例,以及主机端口比例,还有一个应该是根据端口识别成组件的统计结果。
2.2 添加项目
我根据自己感兴趣的功能,点击了导航栏上的白盒审计
->项目列表
->添加项目
,会弹出一个添加项目的窗口,经过尝试发现只需要填写项目名称和地址即可,其他都是选填项,如下图所示
在上图中填写完资料后,结果会添加到项目列表,在图中可以看到已经添加了一个项目。
三、结果分析
3.1 项目内部
添加完项目之后,在项目列表中会发现各种工具对应的数字增长了,如下图所示
将鼠标放到数字位置上方会看到对应工具的扫描完成时间,点击链接会跳转到对应的工具列表,这里就不展开说明了。
3.2 详情页
我惦记了查看
按钮,发现进入了详情页,在详情页可以看到项目的一些基本信息,以及各种工具的一部分扫描结果,如下图所示
在上图中可以看到基本信息中包含了添加项目时候填写的信息,工具动态中的时间是指各种工具扫描完成的时间。
3.3 fortify扫描结果
往详情页下面可以看到fortify的部分扫描结果,如下图所
在上图中可以看到图中展示了漏洞类型、危害等级、参数污染来源、执行位置、以及审核状态等信息,审核状态是一个下拉组件,可以直接进行审核操作。
3.3 semgrep扫描结果
往详情页下滚动鼠标,还可以看到semgrep对项目的扫描结果,如下图所示 同样展示了漏洞类型、危害等级、执行位置、以及审核状态等信息,审核状态是一个下拉组件,也可以直接进行审核操作。
3.4 依赖扫描
四、工具介绍
下面是我将QingScan的一部分介绍复制过来的
4.1 介绍
QingScan 是一款聚合扫描器,本身不生产安全扫描功能,但会作为一个安全扫描工具的搬运工; 当添加一个目标后,QingScan会自动调用各种扫描器对目标进行扫描,并将扫描结果录入到QingScan平台中进行聚合展示
- GitHub:github.com/78778443/Qi…
- 码云地址:gitee.com/songboy/Qin…
- 详细文档:wiki.qingscan.songboy.site
- 哔哩哔哩:space.bilibili.com/437273065
- 官网地址:qingscan.songboy.site/
4.2 在线演示
在线体验地址:txy8g.songboy.site:8112/ 用户名:admin 密码:admin
注:在线体验地址为功能演示,不会对目标实际扫描~
4.3 靶场系统
您在安装之后请不要对未获得足够授权的目标进行扫描,同时为了让你能够快速上手,我们搭建了一些靶场系统授权你进行安全扫描:
- txy8g.songboy.site:8888/home/index.… 轻松渗透测试系统测试
4.4 联系我们
作者:汤青松
微信:songboy8888
日期:2022年1月9日
聚合型代码审计工具QingScan使用实践相关推荐
- license 验证服务器唯一机器码_代码审计工具Fortify 17.10及Mac平台license版本
介绍17.10版本安装指导工具使用云端试用价值 介绍 Fortify SCA是一个静态源代码安全测试工具.它通过内置的五大主要分析引擎对源代码进行静态的分析和检测,分析的过程中与其特有的软件安全漏洞规 ...
- 《DevOps实战:VMware管理员运维方法、工具及最佳实践》——2.3 配置管理
本节书摘来自华章计算机<DevOps实战:VMware管理员运维方法.工具及最佳实践>一书中的第2章,第2.3节,作者:小特雷弗 A. 罗伯茨(Trevor A. Roberts Jr.) ...
- 梦想成真…教学–专业的Java开发人员:工具和最佳实践
我总是喜欢分享知识. 我写博客的原因之一是分享我在软件工程师方面的知识. 创立并运行(与几个朋友一起)第一个 早在2003年, 希腊的Java用户组就是由于我们在工作中得不到足够的培训或个人开发机会, ...
- 代码静态检查工具PC-Lint运用实践
代码静态检查工具PC-Lint运用实践 如何提交zero bug的产品,如何尽早发现bug,是软件开发工程师和测试工程师都需要思考的问题.我认为高质量的代码是关键,具体实施保障办法有:框架约束,代码评 ...
- bandit-Python代码审计工具
bandit代码审计工具: pip install bandit 扫描方式: bandit: error: argument -f/--format: invalid choice: 'python' ...
- PHP代码审计工具——rips
一.代码审计工具介绍 代码审计工具可以辅助我们进行白盒测试,大大提高漏洞分析和代码挖掘的效率. 在源代码的静态安全审计中,使用自动化工具辅助人工漏洞挖掘,一款好的代码审计软件,可以显著提高审计工作的效 ...
- 汉化版PHP代码审计工具rips
工具在我资源和github上都可下载 0x01简介 RIPS是一款PHP开发的开源的PHP代码审计工具,由国外的安全研究者Johannes Dahse开发,目前开源的最新版本是0.55.程序小巧玲珑, ...
- 【代码审计篇】 代码审计工具Fortify基本用法详解
文章目录 前言 一.工具介绍 二.安装过程 三.升级中文规则库 四.代码审计过程 五.代码审计结果 六.中文乱码解决 前言 本篇文章讲解代码审计工具Fortify的基本用法,感兴趣的小伙伴可以研究学习 ...
- 第37篇:fortify代码审计工具的使用技巧(1)-审计java代码过程
Part1 前言 在正式文章之前,插播一下:恭喜梅西圆梦,获得世界杯冠军,加冕球王,一场精彩绝伦的球赛.开心之后,还是要静下心学习的,我们也要继续努力. Fortify全名叫Fortify SCA ...
最新文章
- Git 操作简单总结:廖雪峰教程
- Serverless 解惑——函数计算如何访问 Redis 数据库
- 了解Base64编码解码
- 索引( index )
- linux新起之秀-linux文件属性
- Java 发起http GET POST请求实例
- OpenShift 4 之Istio-Tutorial (6) 服务恢复能力(重试、超时、断路器)
- Python之网络编程(粘包、粘包解决方案)
- javascript window alert
- python画简便的图-最适合小白学的花色玩Python折线图|画个天气预报
- BigDecimal的保留位数和四舍五入的方法
- 【第四章】 资源 之 4.3 访问Resource ——跟我学spring3
- 百度AI开放平台情感分类
- 201819102036张祺
- Mysql中的索引原理
- 如何使用HTML和CSS进行分页?
- echarts 5.x 版本词云无法正常显示问题
- 高通平台之TP代码分析
- 倍福控制器报1804错误解决方法
- 鸿蒙osvalue mysql_终于有人把鸿蒙OS讲明白了,大佬讲解!快收藏
热门文章
- 【例题】【高斯消元】USACO3.2.4 Feed Ratios
- 软路由 Vs 硬路由
- python好学吗一般要学多久-Python好学吗?精通Python需要多长时间?
- cad2016的自动修复此计算机,CAD中遇到文件损坏,别着急,这几招能帮你挽回损失...
- python xlrd 错误:xlrd.biffh.XLRDError: Unsupported format, or corrupt file: Expected BOF reco
- AI面临产业大考:落地虽难,但产业化路径已日渐清晰
- c语言中以追加只写方式打开文本文件,C语言文本方式和二进制方式打开文件区别...
- nets_comment_class.py-网易单曲评论-music-163
- 开放封闭原则_开放/封闭原则
- 51单片机的几种精确延时