关于SCNR

原来叫Arachni 是开源的，现在是SCNR，商用工具了 可试用一个月

Arachni Web Application Security Scanner Framework 看名字就知道了，针对web app 的安全工具，DAST+IAST吧

安装

安装之前先

sudo apt-get update
sudo apt-get install libgconf-2-4 libatk1.0-0 libatk-bridge2.0-0 libgdk-pixbuf2.0-0 libgtk-3-0 libgbm-dev libnss3-dev libxss-dev libasound2

linux可以直接 bash -c "$(curl -sSL https://get.ecsypno.com/scnr)"

注意：不能用root用户

也可以自己下载包手动安装

Releases · scnr/installer · GitHub

解压 之后bin/scnr_activate KEY 来激活，可以申请30天试用，申请个trial key就行了。

到这就可以cli直接扫描了，想搭建web 扫描的话需要运行bin/scnr_pro

这个数据库要自己准备 ./bin/scnr_pro_task db:create db:migrate db:seed

bin/scnr_pro 默认端口号9292 就可以直接访问web ui了

添加site之后就可以扫描了

还不错

web ui主打的就是方便。。。

可以定时scan

设置audit mode

扫描设置

目标站点软件栈设置

reference

scnr/installer: Installation script for Codename SCNR. (github.com)