自动安全扫描

静态代码扫描可以发现代码中的安全问题，但是当软件系统的各个组件集成到一起之后或者系统部署到测试环境后，仍然可能会产生系统级别的安全漏洞，比如XSS，CSRF，SQL注入攻击等安全问题，所以在这个时候对系统进行动态安全扫描可以在最短的时间内发现安全问题。动态扫描一般分为两种类型：主动扫描和被动扫描。

• 主动扫描是首先给定需要扫描的系统地址，扫描工具通过某种方式访问这个地址，如使用各种已知漏洞模型进行访问，并根据系统返回的结果判定系统存在哪些漏洞；或者在访问请求中嵌入各种随机数据（模糊测试）进行一些简单的渗透性测试和弱口令测试等。对于一些业务流程比较复杂的系统，主动扫描并不适用。比如一个需要登录和填写大量表单的支付系统，这个时候就需要使用被动扫描。
• 被动扫描的基本原理就是设置扫描工具为一个代理服务器，功能测试通过这个代理服务访问系统，扫描工具可以截获所有的交互数据并进行分析，通过与已知安全问题进行模式匹配，从而发现系统中可能的安全缺陷。一般在实践中，为了更容易地集成到CI，会在运行自动化功能测试的时候使用被动扫描方法，从而实现持续安全扫描。

部分自动服务器安全扫描工具列表：

工具	扫描漏洞类型	版权	主页地址
ZAP	通用Web应用漏洞	免费	https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
SQLMap	SQL注入	免费	http://sqlmap.org/
Burp Suite	通用Web应用漏洞	收费	http://www.portswigger.net/
N-Stalker	通用Web应用漏洞	收费	http://www.nstalker.com/