如何选择漏洞扫描工具（精选8篇）
篇1：如何选择漏洞扫描工具
对于一个复杂的多层结构的系统和网络安全规划来说，隐患扫描是一项重要的组成元素，隐患扫描能够模拟 的行为，对系统设置进行攻击测试，以帮助管理员在 攻击之前，找出网络中存在的漏洞。这样的工具可以远程评估你的网络的安全级别，并生成评估报告，提供相应的整改措施。
目前，市场上有很多隐患扫描工具，按照不同的技术（基于网络的、基于主机的、基于代理的、C/S的）、不同的特征、不同的报告方法，以及不同的监听模式，可以分成好几类。不同的产品之间，漏洞检测的准确性差别较大，这就决定了生成的报告的有效性上也有很大区别。
选择正确的隐患扫描工具，对于提高你的系统的安全性，非常重要。
1 漏洞扫描概述
在字典中，Vulnerability意思是漏洞或者缺乏足够的防护，
在军事术语中，这个词的意思更为明确，也更为严重------有受攻击的嫌疑。
每个系统都有漏洞，不论你在系统安全性上投入多少财力，攻击者仍然可以发现一些可利用的特征和配置缺陷。这对于安全管理员来说，实在是个不利的消息。但是，多数的攻击者，通常做的是简单的事情。发现一个已知的漏洞，远比发现一个未知漏洞要容易的多，这就意味着：多数攻击者所利用的都是常见的漏洞，这些漏洞，均有书面资料记载。
这样的话，采用适当的工具，就能在 利用这些常见漏洞之前，查出网络的薄弱之处。如何快速简便地发现这些漏洞，这个非常重要。
漏洞，大体上分为两大类：
① 软件编写错误造成的漏洞；
② 软件配置不当造成的漏洞。
漏洞扫描工具均能检测以上两种类型的漏洞。漏洞扫描工具已经出现好多年了，安全管理员在使用这些工具的同时， 们也在利用这些工具来发现各种类型的系统和网络的漏洞。
篇2：如何选择漏洞扫描工具
选择正确的隐患扫描工具，对于提高你的系统的安全性，非常重要。
1、漏洞扫描概述
在字典中，Vulnerability意思是漏洞或者缺乏足够的防护。在军事术语中，这个词的意思更为明确，也更为严重------有受攻击的嫌疑。
每个系统都有漏洞，不论你在系统安全性上投入多少财力，攻击者仍然可以发现一些可利用的特征和配置缺陷。这对于安全管理员来说，实在是个不利的消息。但是，多数的攻击者，通常做的是简单的事情。发现一个已知的漏洞，远比发现一个未知漏洞要容易的多，这就意味着：多数攻击者所利用的都是常见的漏洞，这些漏洞，均有书面资料记载。
这样的话，采用适当的工具，就能在 利用这些常见漏洞之前，查出网络的薄弱之处。如何快速简便地发现这些漏洞，这个非常重要。
漏洞，大体上分为两大类：
① 软件编写错误造成的漏洞;
② 软件配置不当造成的漏洞。
漏洞扫描工具均能检测以上两种类型的漏洞。漏洞扫描工具已经出现好多年了，安全管理员在使用这些工具的同时， 们也在利用这些工具来发现各种类型的系统和网络的漏洞。
2、隐患扫描工具的衡量因素
决定是否采用隐患扫描工具来防范系统入侵是重要的第一步，
当您迈出了这一步后，接下来的是：如何选择满足您公司需要的合适的隐患扫描技术，这同样也很重要。以下列出了一系列衡量因素：
① 底层技术(比如，是被动扫描还是主动扫描，是基于主机扫描还是基于网络扫描);
② 特性;
③ 漏洞库中的漏洞数量;
④ 易用性;
⑤ 生成的报告的特性(内容是否全面、是否可配置、是否可定制、报告的格式、输出方式等);
⑥ 对于漏洞修复行为的分析和建议(是否只报告存在哪些问题、是否会告诉您应该如何修补这些漏洞);
⑦ 安全性(由于有些扫描工具不仅仅只是发现漏洞，而且还进一步自动利用这些漏洞，扫描工具自身是否会带来安全风险);
⑧ 性能;
⑨ 价格结构
2.1 底层技术
比较漏洞扫描工具，第一是比较其底层技术。你需要的是主动扫描，还是被动扫描;是基于主机的扫描，还是基于网络的扫描，等等。一些扫描工具是基于Internet的，用来管理和集合的服务器程序，是运行在软件供应商的服务器上，而不是在客户自己的机器上。这种方式的优点在于检测方式能够保证经常更新，缺点在于需要依赖软件供应商的服务器来完成扫描工作。
扫描古城可以分为“被动”和“主动”两大类。被动扫描不会产生网络流量包，不会导致目标系统崩溃，被动扫描工具对正常的网络流量进行分析，可以设计成“永远在线”检测的方式。与主动扫描工具相比，被动扫描工具的工作方式，与网络监控器或IDS类似。
主动扫描工具更多地带有“入侵”的意图，可能会影响网络和目标系统的正常操作。他们并不是持续不断运行的，通常是隔一段时间检测一次。
基于主机的扫描工具需要在每台主机上安装代理(Agent)软件;而基于网络的扫描工具则不需要。基于网络的扫描工具因为要占用较多资源，一般需要一台专门的计算机。
篇3：如何选择DIY用的工具
对于我来说,合适的工具意味着它是为即将进行的工作而设计,易于握持并适合工作面尺寸。对于业余无线电爱好者来说,从小型电子元件焊接到主天线塔的维护,都需要用到不同种类的工具,但一次准备这些实在太多了。事实上,我猜很多爱好者会选择新买一台收发信机。
从最常用的开始
多数电子制作与维修工作可以使用几件基本工具完成,这些是我们迟早会用到的。首先准备的包括一对小的(4英寸)尖嘴钳、斜口钳、一套一字螺丝改锥(1/16～5/16英寸)和十字螺丝起子(#0～#2)。
很快你会发现你需要一套套筒改锥。它们外形与螺丝改锥类似,但尖端是套筒。它们可以伸入狭小的角落固定螺母及其他六角形物体。买一套可换头的组合工具也可行,但当需要使用两个不同尺寸的刀头时会很麻烦。一个折衷方案是准备一套与1/4英寸棘轮扳手配套的公英制可换套筒头,加上几个常用大小的专用套筒改锥:1/4、5/16和11/32英寸。公英制的定口扳手套装经常会派上用场并且不很昂贵。3/8英寸的套筒扳手套装也会有用,在修车时也会用到。
前面介绍的工具适合处理电路板,但不适合电源线或天线连接。使用6英寸的尖嘴钳会是更好的选择,你可能想要添加一个线路工人使用的带有重型刃部的钳子。如果使用管子及配套的紧固件制作天线,最好准备一套扳手,型号至少要有3/8、7/16、1/2、9/16英寸。如果使用公制紧固件,再准备几个公制的。当你需要处理一个不常用尺寸的零件或同时需要两个扳手时,6英寸的可调扳手会很有用,并且他们也可以用于公制零件。
焊接工具
有时我们需要将元件同其他元件或电路板焊接在一起或拆下。在电子管时代,100W或140W速热焊枪可以完成几乎所有的工作。对于焊接线天线和同轴连接器,焊枪仍然有用,但是它会瞬间烤焦现代小且易损的电子元件和电路板。
现在的电子爱好者或技师使用带有精密烙铁头的调温焊台。最好的焊台带有数字温度显示与恒温控制,其他的带有模拟的调温装置。我花了30美元购买了一台第二种类型的焊台,对它很满意(见图1),然而更先进的型号价格可能多3倍以上。
当然你还需要几件其他的物品,比如焊锡。多数自制电子设备使用锡铅比40/60%的、中心带有松香助焊剂的焊锡丝。混合物在370°F(188℃)时开始融化。确保在电子设备中不要使用酸性助焊剂或带有酸性助焊剂的焊锡丝。
新型的商业设备,特别是在美国以外销售的型号,通常使用无铅焊料制造以符合环保要求。无铅焊料需要更高的温度融化或与有铅焊料融合,通常需要450°F (232℃),所以请确保你选择的焊台能达到足够的温度。你还会需要一些吸锡铜带,一种用于吸走熔融焊料的细金属编织带。
测试设备
篇4：如何选择房贷工具？
2007年1月1日，个人住房按揭贷款开始执行新的贷款利率，五年以上商业贷款的基准利率为6.84％，个人住房公积金贷款利率为4.59％。利率的上升提高了贷款的成本，加重了借款人的利息负担，使得人们在选择房贷的具体方式上变得更为慎重。
在过去的一年里，各家银行的个人住房按揭业务也进行了大量的创新，房贷正变得更加灵活多样，为借款人提供了更多的选择。如果能对各家银行的业务有个整体的了解，从中选择最适合自己的贷款方式，你就会发现，贷款也可以很精彩。
决定房贷成本的三个因素
贷款买房的人对利率都很敏感，因为借款人最关心的就是利息负担。在整个贷款期内的利息支出就是贷款的成本，显然，这取决于占用银行的资金额、占用的时间以及利率水平三个因素。占用银行的资金额越大、占用的时间越长、利率越高，总的利息负担就越重。所以，减少利息负担的办法就可以是提前还贷减少贷款本金、加快本金归还速度减少占用资金的时间或是寻求更低的利率水平。
其中，利率的选择空间最小。贷款人可以充分利用公积金贷款，获得低于商贷的利率。商贷方面，应该注意到商业银行可以对信用良好的客户给予基准利率下浮15％的优惠，因此，贷款人要格外注意自己的信用记录。换个角度看，利率也是借款人的融资成本，所以利率上调后，如果投资回报率高于贷款利率，则应该将富余资金用于投资，反之，则应考虑提前还贷。当然，借款人还应考虑资产的流动性、投资的风险等因素。
各家银行的创新之举基本上是通过提前还款或加快本金归还速度来实现利息支出的减少的，比如一度被广泛关注的“双周供”，借款人可一年还款26次，相当于原来的13个月，因而可以加快本金归还速度，缩短还款期限。
当然，并非利息支出最少的贷款方式就是最好的，贷款是出于实际的需要，借款人应在此前提下尽可能地降低成本，选择最适合自己的贷款方式。
固定利率贷款VS浮动利率贷款
按照利率是否变化，可将房贷分为固定利率贷款和浮动利率贷款两大类。现有的大部分借款人采用的都是浮动利率贷款，利率水平随央行基准利率的变化而变化。固定利率房贷是去年才出现的新事物，是指在签订购房贷款合同时，选择固定利率贷款，在整个贷款期限内，借款人都将按照合同签定的固定利率支付利息，不会因为利率变化而改变还款数额。
在去年央行连续的加息行为下，部分有着升息预期的人就适合采用固定利率贷款，可以有效规定升息的风险。但同时，如果利率下凋，选择固定利率贷款的人则会多付出一部分利息。
选择适合的还款方式
除了利率外，借款人最需要考虑的就是整个贷款周期内还款金额的分布问题。住房按揭贷款往往长达10年、20年，甚N30年，因此，结合家庭的生命周期和不同阶段的财务状况，合理安排整个周期的还款金额和还款频率是非常重要的。借款人可从如下个人住房按揭服务中选择适合自己的还款方式：
等额本息把按揭贷款的本金总额与利息总额相加，然后平均分摊到还款期限的每个月中，借款人每个月还给银行固定金额，但每月还款额中的本金比重逐月递增，利息比重逐月递减。等额本息操作简便，适合家庭收入稳定的人群，但因初期贷款本金所占的比例较低，不适合有提前还贷打算的人。
等额本金将本金平均分摊到每个月内，同时付清上一还款日至本次还款日之间的利启、，前期支付的本金和利息较多，还款负担逐月递减。等额本金比等额本息负担的总利息要少，但前期还款负担较重，比较适合经济能力较强的年轻人。
等额递增/等额递减是等额本息的一种派生形式。把确定的还款期限划分为若干时间段，每个时间段内月还款额相同，下一个时间段的还款额按一个固定金额递增或递减。这两种方式使得借款人可以根据自己的预期收入情况灵活设定还贷方案，适合刚参加工作的年轻人。
双周供将还款方式从原来每月还款一次，变为每两周还款一次，每次还款额基本为原来月供的一半。与按月还款相比，可加速还款，缩短还款期限，减少利息支出。
接力贷指以某人的子女作为所购房屋的所有权人，父母双方或一方与其子女作为共同借款人，接力还款。适合于年龄较大的购房者，或子女收入暂时不高的家庭。
移动组合房贷允许客户针对不同时期的家庭收入情况和个人投资理财习惯，订制个性化的还款方案。还款期内，借款人还可以随时调整还款方式。
入住还款客户在银行办理一手楼住房贷款业务时，可以申请从贷款第一个月开始，与银行约定一个时间段仅偿还贷款利息，约定期满后再开始采用等额本息或等额本金的还款方式归还贷款的本金和利息。这种方式比较适合购房初期经济比较紧张的人。
随借随还在贷款购买住房后，银行会为借款人提供一个相应的授信额度。当借款人在偿还了部分贷款后突然急着要用钱时，只需通过网上银行或电话银行就能马上提取现金。同时，如果借款人想提前偿还贷款，随时都可以，从而减少不必要的利息支出。
循环贷针对房产变现难的特点，“循环贷”可将自有住房到银行做抵押，获得该住房等价值80％或70％的授信额度，在房产抵押期内可分次提款，循环使用，方便借款人资金周转。
存抵贷把借款人的活期存款与住房贷款结合起来管理，只要活期存款超过5万元，银行就会把超出部分按一定比例视作提前还贷，节省的贷款利息作为理财收益返还到借款人账户上，但借款人存折上的资金并没有真正动用，需要周转时可随时支取。
直客式房贷“直客式”房贷又叫“超前按揭”，就是个人先找银行贷款，然后再去买房，银行直接贷款给买房者，不用经过开发商担保，贷款的形式更加灵活。直客式房贷由于一次付清房款，有助于向开发商争取总价优惠。
篇5：如何选择漏洞扫描工具
当谈到服务器的时候，我们应该怎么理解基础架构(infrastructure)的含义呢?作为企业IT支撑平台，在大多数情况下，服务器并不是以单机形态工作，管理员往往会以不同群组区分它们：不同类型、不同功能、可扩展性集群等，然后将它们有机组织起来提供支持，以便使它们更好地一起协同工作。所以，基础架构的含义不仅包括把服务器按照各种方式组织起来，而且包含所提供的支持它们正常运行的工具。也就是说，要使得服务器基础架构运行，管理员必须首先把服务器以正确的方法装配起来，然后监测它们的运行状况、管理它们的服务。这绝不是一个简单的任务。
凭经验来说，服务器数量越多，所需要的基础架构工具也就越多。另一方面，如果一个管理员看管着上千台服务器，或许他首先的工作就是需要选择基础架构工具来使它们运转，当然让这些服务器发挥最大功效也不是件小事情，最终管理者还需要把投资回报(ROI)最大化。要全部实现这些目标，没有基础架构工具是不可能办到的。
需要考虑的工具
基础架构工具涵盖了很大范围，包括：应用部署和管理、资产和目录管理、备份和归档、批处理、配置和变更管理、集群管理、数据管理、桌面管理、灾难恢复、企业系统管理、文件传输管理、作业自动控制和时序安排、许可管理、网络管理、性能(负荷和压力)测试、补丁和升级管理、打印管理、安全管理、存储管理、用户管理、Web系统管理等。
对于这些工具有很多种组合方式，所以我们在市场上所见到的数百种服务器管理工具产品都有不同程度的重叠，厂家介绍它们的角度以及专家对它们的分析切入点也都会有所不同。
不过，尽管服务器基础架构管理工具如此众多和混乱，但是要弄清楚一个企业组织需要什么样的工具来支持服务器，并不一定非计算机专家不能胜任，
首先一些基本的信息是必须的：服务器放置在哪里，它们(大体上)在做什么工作，以及它们配置的一些详细信息(运行什么样的软件和硬件)。然后再考虑服务器管理的其他项目，如上面所列出的各种需求。基本上，对于中小型商业和大型企业这个过程都是相同的。值得肯定的一点是，如果在管理服务器架构的时候出现什么隔阂或问题，就要考虑用工具来解决。
有经验的人可能会说：并没有这么简单!确实，上面所描述的过程省去了一些重要的复杂环节，包括预算限制、现有架构因素、个人因素、变更的阻力等。另外，要想比较各种管理工具产品也并不简单，虽然很多产品是有共性的，但供货商可能会以不同的方式描述，而且，并不是每个供货商都对市场同样熟练，这也就意味着有时一些好的产品(或特性)并不能很有效地传达出来，当然也会有一些是吹嘘过度。
选择和权衡
服务器基础架构工具是目前增长最为快速的软件种类。由于一些大型企业组织大量采用小型服务器(如刀片式服务器)，相应的管理软件的需求也呈指数级上升。所以，服务器基础架构管理工具的竞争也异常激烈。不仅一些名字响当当的大公司不断推出新产品，一些名不见经传的小公司也表现得异常活跃。
这样带来的好处就是留给用户的选择余地很大，当然也有其不利的一面。不仅是在众多产品森林中跋涉很艰难，而且还有很多的问题需要考虑：购买还是租用?自己操作还是外包?选择单一供应商还是从多家购买?面对多种平台、琳琅满目的产品、众多的选择，反复权衡也是不可避免的。
当提到服务器基础架构工具时，长期以来很多人默认的选择就是服务器硬件供应商。也就是说，如果一个企业使用了 IBM、HP或Dell的服务器，它一般都是倾向于选择这些服务器厂商各自的服务器管理工具。通常来说这是很方便的，因为这些工具都是针对它们的服务器做过优化的。但是，这些供应商提供的工具所覆盖的功能却并不完整，而且它们也有可能相比较要贵一些。最重要的是，一个企业内部往往会使用来自不同厂商、运行不同操作系统平台的服务器，不同厂商的工具一起运行时的表现可能就远远不如使用第三方专门为异构环境设计的管理工具。另外，第三方软件经常被选择的原因是它们的“血统”往往比较好，而且提供很好的价格优势，而不是出自惯性思维。
这里需要强调的是，如果要选择第三方的产品，我们给出的理由是这些产品提供一流的特性，但并不能保证它们能够与任何产品一起协调工作。同样，如果你选择了单一供应商的配套产品，协调的问题就不存在了，但随之而来的是成本问题以及被锁定在一个供应商的不灵活性。
另外企业可能还面临一个选择，是自己购买并操作这些工具，还是外包给别人来操作。自己拥有并操作这些工具通常会有很好的安全性和可控性，而外包的方法整体费用不贵，而且也会带来便利以及人员节省。
篇6：如何选择漏洞扫描工具
1.小工具适用于最新dedecms SQL注射漏洞
2.有狗或其他安全工具下或许会没有效果
3.dedecms系统的管理员密码MD5为20位去掉前三和后一 为16位MD5
4.少数杀软报毒，属正常，若他处下载，请避免捆马现象!!
5.测试使用，勿作非法用途~~
傻瓜式操作，是人都会用~~
篇7：如何选择漏洞扫描工具
漏洞扫描器是一种自动检测远程或本地主机安全性弱点的程序。和Windows系统一样，当 得到目标主机的清单后，他就可以用一些Linux 扫描器程序寻找这些主机的漏洞。这样，攻击者可以发现服务器的各种TCP端口的分配、提供的服务、Web服务软件版本和这些服务及安全漏洞。而对系统管理员来说，如果能够及时发现并阻止这些行为，也可以大大减少入侵事件的发生率。按常规标准，可以将漏洞扫描器分为两种类型：主机漏洞扫描器(Host Scanner)和网络漏洞扫描器(Network Scanner)。主机漏洞扫描器是指在系统本地运行检测系统漏洞的程序;网络漏洞扫描器则是指 基于Internet远程检测目标网络和主机系统漏洞的程序，下面，我们选取一些典型的软件及实例进行介绍。
1、基于主机的实用扫描软件
(1) sXid
sXid是一个系统监控程序，软件下载后，使用“make install”命令即可安装。它可以扫描系统中suid和sgid文件和目录，因为这些目录很可能是后门程序，并可以设置通过电子邮件来报告结果。缺省安装的配置文件为/etc/sxid.conf，这个文件的注释很容易看懂，它定义了sxid 的工作方式、日志文件的循环次数等;日志文件缺省为/var/log/sxid.log。出于安全方面的考虑，我们可以在配置参数后把sxid.conf 设置为不可改变，使用 chattr 命令把sxid.log文件设置为只可添加。此外，我们还可以随时用sxid -k加上 -k 选项来进行检查，这种检查方式很灵活，既不记入日志，也不发出 email。
(2)LSAT
Linux Security Auditing Tool (LSAT) 是一款本地安全扫描程序，发现默认配置不安全时，它可以生成报告。LSAT由Triode开发，主要针对基于RPM的Linux发布设计的。软件下载后，进行如下编译：
cndes$ tar xzvf last-VERSION.tgz
cndes$ cd lsat-VERSION
cndes$ ./configure
cndes$ make
然后以root身份运行：root# ./lsat，
默认情况下，它会生成一份名字叫lsat.out的报告。也可以指定一些选项：
-o filename 指定生成报告的文件名
-v 详细输出模式
-s 不在屏幕上打印任何信息，只生成报告。
-r 执行RPM校验和检查，找出默认内容和权限被改动的文件
LSAT可以检查的内容很多，主要有：检查无用的RPM安装;检查inetd和Xinetd和一些系统配置文件;检查SUID和SGID文件;检查777的文件;检查进程和服务;开放端口等。LSAT的常用方法是用cron定期调用，然后用diff比较当前报告和以前报告的区别，就可以发现系统配置发生的变化。下面是一个测试中的报告片断：
****************************************
This is a list of SUID files on the system:
/bin/ping
/bin/mount
/bin/umount
/bin/su
/sbin/pam_timestamp_check
/sbin/pwdb_chkpwd
/sbin/unix_chkpwd
****************************************
This is a list of SGID files/directories on the system:
/root/sendmail.bak
/root/mta.bak
/sbin/netreport
****************************************
List of normal files in /dev. MAKEDEV is ok, but there
should be no other files:
/dev/MAKEDEV
/dev/MAKEDEV.afa
****************************************
This is a list of world writable files
/etc/cron.daily/backup.sh
/etc/cron.daily/update_CDV.sh
/etc/megamonitor/monitor
/root/e
篇8：如何选择漏洞扫描工具
面对数量繁多Web漏洞扫描工具, 产品能力参差不齐, 某些软件只能针对个别网站检测出注入和跨站, 并且罗列大量的变种和错误信息, 就号称是全面的应用系统扫描工具[1]。为帮助用户更好地选择适合自己系统的漏扫工具, 本文选择了三种市场占有率较高的铱迅、绿盟和启明星辰的产品进行测试。当然, 本文无法对所有应用扫描工具进行测试, 并不是没有测试就说明产品能力存在问题, 而是希望通过本文漏扫工具的测试与分析, 为用户选择漏扫工具时提供一种比较方法。
本次测试是对三款漏洞扫描工具的功能和性能进行测试。测试对象是:铱迅公司的Yxlink NVS-7000、绿盟科技的RSASNX3-X、启明星辰的天镜Web应用检测系统虚拟机版。为了保证测试的公平性, 对同样的站点分别进行检测, 对扫描到的弱点进行验证并得出准确率。主要从功能比较、扫描配置、扫描时间、扫描结果和扫描报告五个方面进行对比。
2 漏扫工具的测试与分析
2.1 功能比较
三种漏扫工具的功能对比见表1。
从功能上来看, 铱迅的主机扫描和Web扫描是在一块的, 绿盟的主机扫描和Web扫描是分开的。对功能进行综合分析可知, 绿盟最强, 铱迅稍弱, 启明星辰最次。
2.2 性能分析
2.2.1 扫描环境搭建
这里使用控制变量法, 让三种工具扫描同一个网站 (组织部网站) 。
2.2.2 扫描配置
(1) 铱迅的配置向导总共三步 (如图1所示) :创建扫描任务、扫描信息、扫描目标设置。但是, 第一步中的扫描方式 (快速扫描、详细扫描) , 第二步的扫描策略 (全部主机漏洞、主机高风险漏洞) , 第三步的扫描类型 (快速扫描、完整扫描等) 新手不是很清楚这其中的区别。用户可以不深究配置向导, 直接选择“下一步”。
(2) 绿盟的配置向导 (如图2所示) , 选择基本选型, 一步搞定, 非常简单。而在高级选型中扫描配置比较详细, 适合老手自己配置, 对于新手使用默认配置就足够了。最后可以保存扫描配置, 供以后使用。
(3) 启明星辰的配置向导 (如图3所示) , 选择任务名和扫描地址即可, 配置简单。但在漏洞扫描设置中扫描的类型有限, 而且旁边没有注解。
2.2.3 扫描时间
扫描组织部网站的时间, 铱迅为18分17秒, 绿盟为12分18秒, 启明星辰为2分23秒。从扫描时间看, 铱迅耗时最长, 启明星辰最短, 但启明星辰扫描出来的漏洞数过少, 准确率低。
2.2.4 扫描结果
铱迅发现存在风险61个, 高危及以上Web风险为3个。绿盟发现9个, 其中高风险2个。启明星辰发现存在风险2个, 高危0个, 高风险0个, 中风险2个, 低风险0个。从检测结果来看, 铱迅准确率最高, 绿盟次之, 启明星辰第三。
2.2.5 扫描报告
从铱迅报告的结果看, 它的扫描很全面, 并且有对问题的详细描述和解决建议。铱迅的报告有两个文件, 即精简版和解决方案, 解决方案较为详细但内容繁多, 无报告模板可以选择和修改。绿盟的扫描结果也比较全面, 也有详细描述和解决方法, 但解决方案是比较通用的那种。绿盟的报告模板有系统默认模板、行政主管模板、技术主管模板, 也可以自己修改模板目录, 易看懂, 结构分明。启明星辰的报告能选模板, 但内容稍显杂乱, 漏洞的解决方案也不能很好地对应。
相对报告内容来说, 绿盟的最好, 问题一目了然, 结构清晰, 缺点有两点: (1) 解决方案在最后, 是通用的说法, 接受程度不够高; (2) 扫描出的漏洞未标注风险等级, 应是按照等级来排列下去的。铱迅的次之, 问题在精简版中体现, 问题解决方案在复杂版, 就是内容有点多。启明星辰的报告排第三。
3 结语
铱迅、绿盟、启明星辰是目前商业市场上做漏洞扫描工具比较好的公司, 其产品检测漏洞的能力不同。通过对这三家公司产品的测试, 对产品的比较有较为详细的了解。为节省篇幅, 文中只列出了一个网站的测试结果, 实际测试了图书馆、现教中心、院纪委、规建处等多个网站, 但即使这样也难免会有遗漏或测试设计不周的地方。尤其是因为条件所限, 启明星辰的漏洞扫描工具是天镜Web应用检测系统虚拟机版, 这是个软件产品, 相对于其他两个公司的硬件产品, 功能难免不全, 在功能比较、使用配置和测试结果上难免弱一些。
通过对这三家公司产品的比较, 铱迅和绿盟的综合能力不分上下, 启明星辰稍微弱一些。经过本文的测试与分析, 用户在选择漏扫产品时可以从功能、扫描配置、扫描时间、扫描结果和扫描报告五个方面进行综合对比, 从而选出一款满意的产品。
摘要：目前, 商业市场上的Web漏洞扫描工具, 它们各有优势和侧重点。用户在选择Web漏洞扫描工具时, 可从功能、扫描配置、扫描时间、扫描结果和扫描报告五个方面进行比较, 从而选择符合自己需求和系统特征的漏扫工具。
关键词：Web应用工具,安全扫描,漏洞检测
参考文献
[1]索亮.对主流扫描工具漏洞检测能力的测试与分析[J].信息安全与技术, 2010 (6) :120-128.