vulnerability-scanning on Astroicers Blog

Trivy 容器安全掃描工具

Thu, 26 Mar 2026 00:00:00 +0000

專案簡介

Trivy 是 Aqua Security 開發的全方位安全掃描工具。支援容器映像、檔案系統、Git 儲存庫、Kubernetes 等多種目標，可檢測漏洞、錯誤設定和機密資訊。

GitHub Stars: 31K+

主要功能

漏洞掃描 - CVE、安全公告
錯誤設定檢測 - Dockerfile、K8s、Terraform
機密掃描 - API 金鑰、密碼、憑證
SBOM 生成 - 軟體物料清單
授權合規 - 開源授權檢查

安裝

Homebrew

1

brew install trivy

APT

1
2
3
4
5


sudo apt-get install wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list
sudo apt-get update
sudo apt-get install trivy

Docker

1

docker pull aquasec/trivy

容器映像掃描

基本掃描

1

trivy image nginx:latest

指定嚴重度

1

trivy image --severity CRITICAL,HIGH nginx:latest

忽略未修復漏洞

1

trivy image --ignore-unfixed nginx:latest

掃描本地映像

1

trivy image --input image.tar

掃描私有 Registry

1
2
3
4


# 使用環境變數認證
export TRIVY_USERNAME=user
export TRIVY_PASSWORD=password
trivy image private-registry.com/image:tag

檔案系統掃描

掃描目錄

1

trivy fs /path/to/project

掃描 Git 儲存庫

1

trivy repo https://github.com/user/repo

掃描 Rootfs

1

trivy rootfs /

IaC 掃描

Terraform

1

trivy config /path/to/terraform

Kubernetes

1

trivy config /path/to/k8s-manifests

Dockerfile

1

trivy config --file-patterns "Dockerfile:dockerfile" /path/to/project

常見錯誤設定

以 root 運行容器
使用 latest 標籤
缺少資源限制
暴露敏感端口

機密掃描

啟用機密掃描

1

trivy fs --scanners secret /path/to/project

自訂規則

1
2
3
4
5
6
7


# trivy-secret.yaml
rules:
 - id: custom-api-key
 category: general
 title: Custom API Key
 severity: HIGH
 regex: 'CUSTOM_API_KEY\s*=\s*["\']([^"\']+)["\']'

1

trivy fs --secret-config trivy-secret.yaml /path/to/project

SBOM 生成

CycloneDX 格式

1

trivy image --format cyclonedx -o sbom.json nginx:latest

SPDX 格式

1

trivy image --format spdx-json -o sbom.json nginx:latest

掃描 SBOM

1

trivy sbom sbom.json

CI/CD 整合

GitHub Actions

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


name: Security Scan
on: [push, pull_request]
jobs:
 trivy:
 runs-on: ubuntu-latest
 steps:
 - uses: actions/checkout@v4

 - name: Build image
 run: docker build -t myapp:${{ github.sha }} .

 - name: Run Trivy
 uses: aquasecurity/trivy-action@master
 with:
 image-ref: myapp:${{ github.sha }}
 format: 'sarif'
 output: 'trivy-results.sarif'
 severity: 'CRITICAL,HIGH'

 - name: Upload to GitHub Security
 uses: github/codeql-action/upload-sarif@v3
 with:
 sarif_file: 'trivy-results.sarif'

GitLab CI

1
2
3
4
5


trivy:
 image: aquasec/trivy:latest
 script:
 - trivy image --exit-code 1 --severity CRITICAL $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
 allow_failure: true

Jenkins

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


pipeline {
 agent any
 stages {
 stage('Security Scan') {
 steps {
 sh '''
 trivy image \
 --format json \
 --output trivy-report.json \
 --severity CRITICAL,HIGH \
 myapp:latest
 '''
 }
 }
 }
}

Kubernetes 掃描

掃描叢集

1

trivy k8s --report summary cluster

掃描特定 Namespace

1

trivy k8s --namespace default --report all

掃描 Workloads

1

trivy k8s --report summary deployments,pods

輸出格式

JSON

1

trivy image --format json -o results.json nginx:latest

Table（預設）

1

trivy image --format table nginx:latest

SARIF

1

trivy image --format sarif -o results.sarif nginx:latest

Template

1

trivy image --format template --template "@contrib/html.tpl" -o report.html nginx:latest

忽略漏洞

.trivyignore

1
2
3
4
5
6


# 忽略特定 CVE
CVE-2023-12345
CVE-2023-67890

# 忽略整個套件
pkg:npm/lodash

內聯忽略

1
2


# trivy:ignore:CVE-2023-12345
FROM nginx:latest

OWASP ZAP 網頁安全掃描工具

Sun, 22 Mar 2026 00:00:00 +0000

專案簡介

OWASP ZAP（Zed Attack Proxy）是世界上最受歡迎的免費網頁安全掃描工具。由 OWASP 維護，提供自動化掃描、手動滲透測試、API 測試等功能。

GitHub Stars: 14K+

主要功能

被動掃描 - 自動分析流經的請求
主動掃描 - 主動探測漏洞
Spider - 自動爬取網站結構
Fuzzer - 自訂 Payload 測試
API 整合 - 支援 CI/CD 自動化

安裝

官方安裝包

下載：https://www.zaproxy.org/download/

Docker

1
2
3
4


docker pull zaproxy/zap-stable

# 執行 GUI（需要 X11）
docker run -u zap -p 8080:8080 -p 8090:8090 zaproxy/zap-stable zap.sh -daemon -port 8090 -host 0.0.0.0

Kali Linux

1

sudo apt install zaproxy

基本操作

代理設定

啟動 ZAP
設定瀏覽器代理：localhost:8080
匯入 ZAP CA 憑證處理 HTTPS

自動掃描

輸入目標 URL
點擊「Attack」
ZAP 會自動 Spider 並掃描

手動探索

設定瀏覽器代理
瀏覽目標網站
ZAP 自動記錄並被動掃描

Spider 爬蟲

標準 Spider

1
2


# 透過 API
curl "http://localhost:8090/JSON/spider/action/scan/?url=https://target.com"

AJAX Spider

適用於 SPA（React、Vue）：

1

curl "http://localhost:8090/JSON/ajaxSpider/action/scan/?url=https://target.com"

Spider 設定

Maximum Depth: 爬取深度
Thread Count: 並行數
Parse Comments: 解析註解中的 URL

主動掃描

開始掃描

1
2


# 取得 Spider 結果後掃描
curl "http://localhost:8090/JSON/ascan/action/scan/?url=https://target.com"

掃描策略

建立自訂掃描策略：

Analyze → Scan Policy Manager
新增策略
調整各漏洞檢測的強度

掃描進度

1

curl "http://localhost:8090/JSON/ascan/view/status/?scanId=0"

常見漏洞檢測

SQL Injection

ZAP 會自動測試：

Error-based SQLi
Blind SQLi
Time-based SQLi

XSS

檢測類型：

Reflected XSS
Stored XSS
DOM-based XSS

其他漏洞

CSRF
Path Traversal
Remote File Inclusion
Command Injection
LDAP Injection

API 測試

匯入 OpenAPI

Import → Import OpenAPI Definition
選擇 OpenAPI/Swagger 檔案
ZAP 自動生成請求

匯入 GraphQL

1
2


# 透過 API
curl "http://localhost:8090/JSON/graphql/action/importUrl/?url=https://api.target.com/graphql"

自動化整合

CLI 掃描

1
2
3
4
5
6
7
8


# 基線掃描
docker run -t zaproxy/zap-stable zap-baseline.py -t https://target.com

# 完整掃描
docker run -t zaproxy/zap-stable zap-full-scan.py -t https://target.com

# API 掃描
docker run -t zaproxy/zap-stable zap-api-scan.py -t https://api.target.com/openapi.json -f openapi

GitHub Actions

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


name: OWASP ZAP Scan
on: [push]
jobs:
 zap_scan:
 runs-on: ubuntu-latest
 steps:
 - name: ZAP Baseline Scan
 uses: zaproxy/action-baseline@v0.12.0
 with:
 target: 'https://target.com'
 rules_file_name: '.zap/rules.tsv'

Jenkins 整合

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


pipeline {
 agent any
 stages {
 stage('ZAP Scan') {
 steps {
 script {
 sh '''
 docker run -t zaproxy/zap-stable \
 zap-baseline.py -t https://target.com \
 -r zap-report.html
 '''
 }
 }
 }
 }
 post {
 always {
 publishHTML([
 reportDir: '.',
 reportFiles: 'zap-report.html',
 reportName: 'ZAP Report'
 ])
 }
 }
}

報告生成

HTML 報告

1

curl "http://localhost:8090/OTHER/core/other/htmlreport/"

JSON 報告

1

curl "http://localhost:8090/JSON/core/view/alerts/"

XML 報告

1

curl "http://localhost:8090/OTHER/core/other/xmlreport/"

擴充功能

常用 Add-ons

Active Scanner Rules - 額外掃描規則
Passive Scanner Rules - 額外被動規則
FuzzDB - Fuzzing 字典
Retire.js - 過時 JS 庫檢測
AJAX Spider - SPA 爬蟲

安裝 Add-on

1

curl "http://localhost:8090/JSON/autoupdate/action/installAddon/?id=retire"

Nuclei 漏洞掃描工具完整指南

Fri, 06 Mar 2026 00:00:00 +0000

專案簡介

Nuclei 是 ProjectDiscovery 開發的快速漏洞掃描工具，使用 YAML 模板定義掃描規則。擁有社群維護的數千種模板，涵蓋 CVE、錯誤設定、敏感資訊洩露等。

GitHub Stars: 27K+

主要功能

模板驅動 - 使用 YAML 定義掃描規則
高效能 - Go 語言開發，支援大規模掃描
社群模板 - 數千種現成的漏洞檢測模板
自訂模板 - 可撰寫自己的檢測規則
多協定支援 - HTTP、DNS、TCP、SSL 等

安裝

Go Install

1

go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest

Homebrew

1

brew install nuclei

Docker

1

docker pull projectdiscovery/nuclei:latest

更新模板

1

nuclei -update-templates

基本使用

掃描單一目標

1

nuclei -u https://example.com

掃描多個目標

1

nuclei -l targets.txt

指定模板

1
2
3
4
5
6
7
8


# 使用特定模板
nuclei -u https://example.com -t cves/

# 使用多個模板目錄
nuclei -u https://example.com -t cves/ -t vulnerabilities/

# 排除模板
nuclei -u https://example.com -exclude-templates dos/

依嚴重度過濾

1
2
3
4
5


# 只掃描 critical 和 high
nuclei -u https://example.com -severity critical,high

# 排除 info 等級
nuclei -u https://example.com -exclude-severity info

進階選項

效能調整

1
2
3
4
5


# 調整並行數
nuclei -l targets.txt -c 50 -rl 150

# -c: 並行模板數
# -rl: 每秒請求限制

輸出格式

1
2
3
4
5
6
7
8


# JSON 輸出
nuclei -u https://example.com -json -o results.json

# Markdown 輸出
nuclei -u https://example.com -me output/

# SARIF 格式（整合 CI/CD）
nuclei -u https://example.com -sarif-export results.sarif

代理設定

1
2
3
4
5


# HTTP 代理
nuclei -u https://example.com -proxy http://127.0.0.1:8080

# 搭配 Burp Suite
nuclei -u https://example.com -proxy http://127.0.0.1:8080 -H "Cookie: session=xxx"

模板語法

基本結構

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


id: example-detection

info:
 name: Example Vulnerability Detection
 author: your-name
 severity: high
 description: 描述這個漏洞
 tags: cve,example

http:
 - method: GET
 path:
 - "{{BaseURL}}/vulnerable-endpoint"
 matchers:
 - type: word
 words:
 - "vulnerable response"

HTTP 請求模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


id: sql-injection-check

info:
 name: SQL Injection Check
 severity: critical

http:
 - method: GET
 path:
 - "{{BaseURL}}/search?q=test'"
 matchers-condition: and
 matchers:
 - type: word
 words:
 - "SQL syntax"
 - "mysql_fetch"
 condition: or
 - type: status
 status:
 - 500

使用變數

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


http:
 - raw:
 - |
 POST /login HTTP/1.1
 Host: {{Hostname}}
 Content-Type: application/json

 {"username":"{{username}}","password":"{{password}}"}
 payloads:
 username:
 - admin
 - administrator
 password:
 - admin123
 - password
 attack: clusterbomb

Workflow 模板

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


id: wordpress-workflow

info:
 name: WordPress Security Check
 author: your-name

workflows:
 - template: technologies/wordpress-detect.yaml
 subtemplates:
 - template: vulnerabilities/wordpress/*.yaml

實戰範例

Bug Bounty 流程

1
2
3
4
5
6
7
8


# 1. 子域名收集
subfinder -d target.com -o subdomains.txt

# 2. 存活檢測
httpx -l subdomains.txt -o alive.txt

# 3. 漏洞掃描
nuclei -l alive.txt -t cves/ -t vulnerabilities/ -severity critical,high -o findings.txt

CI/CD 整合

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


# .github/workflows/security-scan.yml
name: Security Scan
on: [push]
jobs:
 nuclei:
 runs-on: ubuntu-latest
 steps:
 - uses: projectdiscovery/nuclei-action@main
 with:
 target: https://example.com
 templates: cves/
 sarif-export: nuclei.sarif
 - uses: github/codeql-action/upload-sarif@v3
 with:
 sarif_file: nuclei.sarif

自動化監控

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


#!/bin/bash
# daily-scan.sh
nuclei -l targets.txt \
 -t cves/ \
 -severity critical,high \
 -new-templates \
 -json -o "scans/$(date +%Y%m%d).json"

# 比對新發現
diff scans/$(date +%Y%m%d).json scans/$(date -d "yesterday" +%Y%m%d).json

常用模板分類

分類	說明
`cves/`	CVE 漏洞檢測
`vulnerabilities/`	已知漏洞
`exposures/`	敏感資訊洩露
`misconfiguration/`	錯誤設定
`default-logins/`	預設憑證
`takeovers/`	子域名接管
`technologies/`	技術偵測

vulnerability-scanning on Astroicers Blog

Trivy 容器安全掃描工具

專案簡介

主要功能

安裝

Homebrew

APT

Docker

容器映像掃描

基本掃描

指定嚴重度

忽略未修復漏洞

掃描本地映像

掃描私有 Registry

檔案系統掃描

掃描目錄

掃描 Git 儲存庫

掃描 Rootfs

IaC 掃描

Terraform

Kubernetes

Dockerfile

常見錯誤設定

機密掃描

啟用機密掃描

自訂規則

SBOM 生成

CycloneDX 格式

SPDX 格式

掃描 SBOM

CI/CD 整合

GitHub Actions

GitLab CI

Jenkins

Kubernetes 掃描

掃描叢集

掃描特定 Namespace

掃描 Workloads

輸出格式

JSON

Table（預設）

SARIF

Template

忽略漏洞

.trivyignore

內聯忽略

相關連結

延伸閱讀

OWASP ZAP 網頁安全掃描工具

專案簡介

主要功能

安裝

官方安裝包

Docker

Kali Linux

基本操作

代理設定

自動掃描

手動探索

Spider 爬蟲

標準 Spider

AJAX Spider

Spider 設定

主動掃描

開始掃描

掃描策略

掃描進度

常見漏洞檢測

SQL Injection

XSS

其他漏洞

API 測試

匯入 OpenAPI

匯入 GraphQL

自動化整合

CLI 掃描

GitHub Actions

Jenkins 整合

報告生成

HTML 報告