• Jenkins安全插件——Arachni扫描器介绍

     

    Jenkins安全类插件介绍

     

    Jenkins是一款跨平台的持续集成和持续交付、基于Java开发的开源软件,提供任务构建、持续集成监控等功能,可帮助开发测试人员更方便的构建软件项目,提高工作效率。

     

    其强大之处在于开源生态系统。根据插件官网(https://plugins.jenkins.io)显示,Jenkins目前有1500多个插件可供使用,包括各类用户和权限管理插件、代码管理插件、项目和视图插件、构建触发插件、构建参数插件等。

     

    与此同时,Jenkins也提供了很多安全类插件,如Acunetix、AppScan、Arachni、Owasp ZAP等黑盒扫描工具,SonarQube、warnings-ng-plugin、Fortify、Checkmarx等白盒扫描工具,以及容器镜像安全、OWASP Dependency-Check第三方依赖包安全检查插件等。

    这些插件既有商业类软件,也有开源类软件,运维人员、测试人员和安全人员可结合公司自身安全产品情况,选择合适的安全插件,对项目源码、部署环境和应用进行漏洞检测。
    具体插件功能和使用方式可参考网站https://plugins.jenkins.io/介绍,安全类插件可通过输入关键字如scanner、security或已知插件名称进行查询。

     

    Arachni扫描器插件的安装和使用



    Arachni是一款优秀的基于Ruby框架开发的开源web漏洞扫描器,可惜作者目前已停止更新,有关Arachni扫描器的更多介绍可参考网站https://www.arachni-scanner.com/

    Arachni扫描器插件安全和使用步骤主要包括:· Arachni扫描器环境准备,主要是启动rest api服务进行扫描;

    · Jenkins安装Arachni-scanner插件;· Jenkins中配置Arachni-scanner插件,包括Jenkins的系统配置和待扫描的项目配置;· 开始构建(启动扫描)并查看扫描结果。

     

     

    1、启动arachni rest api服务

    (https://127.0.0.1:7331),以便后续对网站进行扫描。

     

    2、安装arachni-scanner 插件

     

    3、配置Jenkins使用Aarchni进行扫描

     

    1)在Jenkins系统配置中,增加Arachni配置信息(扫描服务地址:https://127.0.0.1:7331):

     

    2)在项目配置中,增加待扫描URL地址和扫描策略等:

     

    4、在项目中点击Build Now进行扫描

     

    1)可通过arachni提供的api服务对扫描过程进行监控,如列出当前扫描任务等。

    2)也可通过控制台对arachni扫描过程进行监控。

     

    5、扫描报告下载

     

    扫描报告存储在工作区目录下,可直接点击下载。

    漏洞扫描报告截图:

     

     

     

    原创:新钛云服 王爱华

    «
    »
以专业成就每一位客户,让企业IT只为效果和安全买单

以专业成就每一位客户,让企业IT只为效果和安全买单