漏洞扫描是一种安全检测行为，更是一类重要的网络安全技术，它能够有效提高网络的安全性，而且漏洞扫描属于主动的防范措施，可以很好地避免黑客攻击行为，做到防患于未然。那么好用的漏洞扫描工具有哪些？答案就在本文！5款工具，打包带走吧！ 第一款：Trivy概述 Trivy 是一个开源漏洞扫描程序，能够检测开源软件中的 CVE。这款工具针对风险提供了及时的解释，开发人员可自行决定是否在容器或应用程序中使用
转载
2023-12-28 18:53:07
525阅读
本人还处于代码审计的初级阶段，由于刚开始学代码审计的时候，就感觉一团代码，不知道从何下嘴。先从底层开始审计：底层漏洞：1. 查看该系统所用框架：Struts2的相关安全： (1) 低版本的struts2，低版本的Struts2存在很多已知的版本漏洞。一经使用，很容易造成比较大的危害。 (2) 开启 St
转载
2023-07-19 17:29:48
17阅读
一、代码审计相比黑盒渗透的漏洞挖掘方式，代码审计具有更高的可靠性和针对性，更多的是依靠对代码、架构的理解；使用的审计工具一般选择Eclipse或IDEA；审计工作过程主要有三步：风险点发现——>风险定位追踪——>漏洞利用，所以审计不出漏洞无非就是find：“找不到该看哪些代码”和judge：“定位到代码但判断不出有没有问题”。而风险点发现的重点则在于三个地方：用户输入（入参）处+检测绕
转载
2023-07-19 17:32:31
7阅读
0x01 工具介绍javafx编写的poc管理和漏洞扫描小工具，本工具是采用javafx编写，使用sqllite进行poc储存的poc管理和漏洞扫描集成化工具。主要功能是poc管理，并且采用多线程进行漏洞扫描,不具有漏洞利用功能。0x02 安装与使用1、显示当前poc列表。右键poc可以删除、编辑。也可以导出分享poc。2、全部扫描即扫描当前所有漏洞,资产数量过多时需要以文件形式导入，否则会乱码。
Snyk扫描意义以Java语言开发为例，我们在开发中会引入各种框架和包，那么我们引入的框架和包中就可能存在隐藏的安全漏洞，比如前段时间爆出的Log4j漏洞，可能你在项目中已经改进了这个漏洞，但项目引入的其他框架和包中依旧存在Log4j漏洞，使用Snyk就可以帮助我们对依赖包进行扫描，并针对漏洞给出修复建议。扫描漏洞下面会介绍几种snyk扫描的方式，以Java开发语言的POM为例，POM中存放了项目
转载
2023-10-08 18:48:56
271阅读
下面分享多个java 源码漏洞分析扫描工具：https://www.attackflow.com/商用http://checkstyle.sourceforge.net/ （插件）http://findbugs.sourceforge.net/https://pmd.github.io/ （开源）https://www.parasoft.com/products/jtest&n
转载
2023-07-05 10:03:40
18阅读
前言： 堕落了三个月，现在因为被找实习而困扰，着实自己能力不足，从今天开始 每天沉淀一点点 ，准备秋招 加油注意： 本文章参考qax的网络安全java代码审计和部分师傅审计思路以及webgoat靶场，记录自己的学习过程，还希望各位博主 师傅 大佬 勿喷，还希望大家指出错误CSRF漏洞CSRF全称（Cross-Site Request Forgery）漏洞，中文名称为跨站请求伪造，指网站
转载
2024-06-20 08:02:11
42阅读
Fortify是一款能扫描分析代码的强大工具，这里就不详细介绍，有兴趣了解的同学可以自己找些相关资料来看看。 本人在实际工作中遇到以下，结合他人经验及自己的理解总结出一些相关解决方式，如有不足之处还望批评指正。 1.System Information Leak当系统数据或调试信息通过输出流或者日志功能流出程序时，就会发生信息泄漏。看下面两段代码：
转载
2023-08-25 10:49:01
39阅读
Armitage是一款基于java的metasploit图形化攻击软件，可以结合Metasploit中已知的exploit来针对主机存在漏洞自动化工具。通过命令行的方式使用Metasploit难度较高，需要记住的命令太多，而Armitage完美了解决了这个问题，用户只需要点击菜单，就可以实现对目标主机的安全测试。Armitage良好的图形化界面，使得攻击过程更加直观，用户体验更好。因为操作简单更适
转载
2023-09-23 12:07:35
9阅读
代码漏洞扫描常见漏洞1.日志注入（Log Forging漏洞）漏洞描述将未经验证的用户输入写入日志文件可致使攻击者伪造日志条目或将恶意信息内容注入日志。在以下情况下会发生日志伪造的漏洞：数据从一个不可信赖的数据源进入应用程序。数据写入到应用程序或系统日志文件中。影响：误导日志文件的解读；如果日志文件是自动处理的，可能影响日志处理应用程序。日志注入一般不会引起服务功能性的损害，而主要是作为一种辅助攻
转载
2023-12-02 13:32:24
452阅读
## Java代码CVE漏洞扫描
### 引言
随着互联网的飞速发展，软件安全问题变得日益突出。恶意攻击者通过利用软件的漏洞来窃取用户的敏感信息，破坏系统的正常运行。为了保护软件的安全，开发人员需要及时发现和修复软件中的漏洞。CVE（Common Vulnerabilities and Exposures，公共漏洞和暴露）是一个用于标识和跟踪软件和硬件漏洞的系统。本文将介绍如何使用Java代码
原创
2023-10-02 06:39:53
890阅读
# Java代码漏洞扫描工具开发指南
## 引言
作为一名经验丰富的开发者，你将要教会一位刚入行的小白如何实现一个Java代码漏洞扫描工具。本文将指导你完成这个任务，并提供详细的步骤和代码示例。首先，我们将介绍整个流程，然后详细说明每个步骤需要做什么，并附上相应的代码和注释。
## 流程
下面是实现Java代码漏洞扫描工具的整个流程，我们可以用表格来展示。
| 步骤 | 描述 |
| ---
原创
2023-08-09 13:29:57
431阅读
背景：在工作中，项目交付团队在交付项目时，客户方可能会有项目安全要求，会使用一些第三方工具（奇安信等）对项目代码进行扫描，特别是一些对安全性要求比较高的企业，比如涉及到一些证券公司、银行、金融等。他们会在项目上线前进行代码安全检测，通过了对方才会发布上线。银保等金融类企业信息安全处的安全扫描一般分为五项，主机漏洞，主机基线漏洞，代码检测漏洞，渗透测试漏洞，WEB扫描漏洞，以下漏洞为代码检漏洞.代码
前言：我是觉得这个RMI、JNDI、LDAP介绍+log4j漏洞分析： ⬆️主要参考文章RMIRemote Method Invocatioon，也就是远程方法调用， 和RPC（Remote Procedure Call）很像，RMI算是JAVA定制版RPC。一个完整的RMI调用过程，需要下面几个部分注册服务 RMIServer 客户端 接口 实现接口的类注册服务代码：import java.rm
转载
2023-09-26 23:22:09
392阅读
这次演示的是用Fortify SCA静态分析Java代码。和FindBugs不同的是Fortify SCA还能够静态分析C/C++，.NET和PL/SQL等代码。一.Fortify SCA静态分析原理 因为我不是写这个东东的人。而且接触这个工具时间也有限。所以对它的工作原理认知比較浅，非常多是通过它的说明文档得来的。 Fortify SCA静态分析分两个阶段： 1.Translation
转载
2023-12-02 16:07:34
29阅读
目录扫描工具高危1. SQL注入1.1. 预编译1.2. 参数校验1.3. SQL语句校验2. XSS漏洞2.1 过滤器中危1. 代码质量：比较Locale相关的数据未指定适当的Locale2. 代码质量：使用==或!=比较基本数据类型的包装类3. 输入验证：日志伪造4. 密码管理：配置文件中的明文密码5. 密码管理：硬编码加密密钥6. 资源管理：资源未释放：流7. 敏感信息泄漏扫描工具奇安信全卫
转载
2024-05-15 04:38:26
21阅读
前言在分析Fastjson漏洞前，需要了解RMI机制和JNDI注入等知识点，所以本篇文来分析一下RMI机制在Java里面简单来说使用Java调用远程Java程序使用的就是RMI，调用C的程序调用的是JNI，调用python程序使用到的是Jython。RMI、JNI、Jython，其实在安全中都能发挥比较大的作用。JNI在安全里面的运用就比较大了，既然可以调用C语言，那么后面的。。自行脑
转载
2024-06-23 10:24:21
73阅读
0x01 漏洞基本信息漏洞名称：Tomcat AJP协议漏洞CVE编号：CVE-2020-1938漏洞简介：2020年2月4日，Apache Tomcat官方发布了新的版本，该版本修复了一个影响所有版本（7.*、8.*、9.*）的文件包含漏洞，但官方暂未发布安全公告，2020年2月20日，CNVD发布了漏洞公告，对应漏洞编号：CNVD-2020-10487。漏洞是Tomcat AJP协议存在缺陷而
转载
2024-05-20 14:38:17
53阅读
前言在许多对安全性有所关注的公司中，代码安全扫描已成为一项关键的实践。但是，面对频繁出现的安全漏洞升级，大家可能会感到困惑和头疼。那么，这些令人不安的漏洞究竟是如何被发现的呢？今天我们将为大家揭示安全漏洞发现的奥秘。fortify 概述Fortify 是一款广泛使用的静态应用程序安全测试（SAST）工具，由 Micro Focus 开发和维护。用 Java 语言开发的。具有良好的跨平台兼容性，可以
转载
2023-10-04 09:43:37
21阅读
代码审计工具Fortify SCA，一款软件代码安全测试工具，包含了五大引擎分析系统，为用户提供全方位的代码静态分析，对软件安全漏洞进行搜索，让您轻松掌握代码的调试状态，完成相关的审计工作，本次带来的是Fortify SCA的一个crack版本，直接运行程序即可安装，有相关代码审计操作需求的朋友们不妨试试吧！Fortify SCA介绍Fottify全名叫：Fortify SCA ，是HP的产品 ，
转载
2023-10-05 19:51:40
55阅读
