search

veo / vscan

开源、轻量、快速、跨平台 的网站漏洞扫描工具，帮助您快速检测网站安全隐患。功能 端口扫描(port scan) 指纹识别(fingerprint) 漏洞检测(nday check) 智能爆破 (admin brute) 敏感文件扫描(file fuzz)
https://veo.pub/2021/vscan/
BSD 3-Clause "New" or "Revised" License
1.43k stars 240 forks source link

POC问题 #32

Closed TerickJojo closed 2 years ago

TerickJojo commented 2 years ago

请问是否考虑将fscan POC加入进来，最近发现扫描结果有差异，比如说spring的heapdump，fscan能扫出来而vscan没有

谢谢大佬

veo commented 2 years ago

您好 fscan 采用的是xray v1版本的POC，vscan采用的是v2版本，所以有些不同，可在xray官方对比一下。

至于xray v2为啥抛弃了heapdump这个poc，我也不清楚，可能是觉得局限于敏感信息泄露，危害不大。

抛开POC不一样的问题，vscan有敏感文件扫描功能是能扫描到heapdump的

TerickJojo commented 2 years ago

您好 fscan 采用的是xray v1版本的POC，vscan采用的是v2版本，所以有些不同，可在xray官方对比一下。

至于xray v2为啥抛弃了heapdump这个poc，我也不清楚，可能是觉得局限于敏感信息泄露，危害不大。

抛开POC不一样的问题，vscan有敏感文件扫描功能是能扫描到heapdump的

您好 这是spring的扫描对比，上面vscan没扫出heapdump，下面fscan扫出来了 image image

所以才会有这样的顾虑

veo commented 2 years ago

image 我这边扫没啥问题。这个POC我觉得作用不大，不添加了，遵循xray v2版本

TerickJojo commented 2 years ago

好的，谢谢大佬

TerickJojo commented 2 years ago

您好， 发现替换了自己的字典重新编译运行之后，不会再进行相关爆破功能，比如说FUZZ路径和账号密码爆破。 能否考虑加个参数来自定义导入呢 谢谢

veo commented 2 years ago

下个版本加入自定义字典功能和参数

TerickJojo commented 2 years ago

或者多加一个禁用爆破功能 谢谢大佬