立项背景和目标:为解决企业安全团队面对海量资产时,传统手动渗透测试效率低下、难以体系化覆盖的问题,本项目旨在研发一款全面、高效的 Web 安全自动化扫描与渗透辅助平台。核心目标是通过自动化流水线作业,大幅缩短漏洞发现周期,支持主机、Web、数据库等多资产维度的一站式安全检测与风险收敛。
软件功能、核心功能模块的介绍:系统主要分为通用任务探测、扫描策略管理与探测工具库三大核心区域:
自动化扫描与探测模块(通用任务):包含主机扫描(针对主机级系统漏洞)、Web扫描(涵盖SQL注入、XSS等 Web 资产漏洞)、口令破解(支持40+网络协议的弱口令爆破)、主机/Web资产存活扫描,以及数据库检测(精细化扫描 Oracle、MySQL 等各类数据库漏洞)。
扫描策略与引擎管理:预置了多种常用扫描策略(如Web系统扫描策略、主机扫描策略),内嵌多核心扫描引擎(含子域名枚举、端口扫描、目录目录字典爆破、爬虫、指纹识别及多种专项漏洞攻击插件)。
辅助探测与资产管理:提供资产存活探测、域名枚举、ICP备案查询等拓展工具,并配有模板管理与知识库管理功能,用于维系最新的漏洞库(PoC)和渗透用例。
业务流程、功能路径描述:安全渗透人员在系统首页或“新建任务”页面,输入目标IP段或域名,并勾选对应的主机或Web扫描策略下发任务。后台 Go 高性能并发引擎接收任务后,执行异步编排的流水线调度:从最初的资产存活判断、端口探测、协议识别,逐步递进到Web爬虫指纹比对、弱口令字典爆破及专项漏洞发包探测。检测完成后,前端实时在大屏展现资产风险分布看板、漏洞证据明细,并可一键生成标准化、带有修复建议的渗透测试评估报告。