一、簡介
筆者最近看到很多公衆號在推薦QingScan這款掃描器平臺，也好奇了起來，花了半小時將QingScan搭建了起來；
搭建起來之後，進入控制檯中看了下QingScan的功能列表，發現除了公衆號介紹的黑盒掃描功能外其實還有不少功能，我比較喜歡的是裏面的白盒審計功能，裏面集成了fortify、semgrep、河馬webshell、kunlun-m、sonarqube、PHP依賴、Python依賴、java依賴的掃描工具,所以寫下這篇文章跟大家分享一下~
二、功能概覽
我安裝好QingScan後，進入QingScan控制檯，最先看到的是黑盒掃描和白盒審計的統計圖，以及上方的導航欄。
2.1 圖表分析
統計圖分爲了兩類，如下圖所示：
在上圖中可以看到，
第一類是白盒審計結果統計，展示了掃描結果中的高中低漏洞比例和按照日期掃描到的結果，以及按照漏洞分類統計的比例。
第二類是主機掃描的統計結果，展示了掃描出的端口比例，以及主機端口比例，還有一個應該是根據端口識別成組件的統計結果。
2.2 添加項目
我根據自己感興趣的功能，點擊了導航欄上的白盒審計->項目列表->添加項目，會彈出一個添加項目的窗口，經過嘗試發現只需要填寫項目名稱和地址即可，其他都是選填項，如下圖所示
在上圖中填寫完資料後，結果會添加到項目列表，在圖中可以看到已經添加了一個項目。
三、結果分析
3.1 項目內部
添加完項目之後，在項目列表中會發現各種工具對應的數字增長了，如下圖所示
將鼠標放到數字位置上方會看到對應工具的掃描完成時間，點擊鏈接會跳轉到對應的工具列表，這裏就不展開說明了。
3.2 詳情頁
我惦記了查看按鈕,發現進入了詳情頁，在詳情頁可以看到項目的一些基本信息，以及各種工具的一部分掃描結果，如下圖所示
在上圖中可以看到基本信息中包含了添加項目時候填寫的信息，工具動態中的時間是指各種工具掃描完成的時間。
3.3 fortify掃描結果
往詳情頁下面可以看到fortify的部分掃描結果，如下圖所
在上圖中可以看到圖中展示了漏洞類型、危害等級、參數污染來源、執行位置、以及審覈狀態等信息，審覈狀態是一個下拉組件，可以直接進行審覈操作。
3.3 semgrep掃描結果
往詳情頁下滾動鼠標，還可以看到semgrep對項目的掃描結果，如下圖所示
同樣展示了漏洞類型、危害等級、執行位置、以及審覈狀態等信息，審覈狀態是一個下拉組件，也可以直接進行審覈操作。
3.4 依賴掃描
四、工具介紹
下面是我將QingScan的一部分介紹複製過來的
4.1 介紹
QingScan 是一款聚合掃描器，本身不生產安全掃描功能，但會作爲一個安全掃描工具的搬運工； 當添加一個目標後，QingScan會自動調用各種掃描器對目標進行掃描，並將掃描結果錄入到QingScan平臺中進行聚合展示
- GitHub：https://github.com/78778443/QingScan
- 碼雲地址：https://gitee.com/songboy/QingScan
- 詳細文檔：http://wiki.qingscan.songboy.site
- 嗶哩嗶哩：https://space.bilibili.com/437273065
- 官網地址：http://qingscan.songboy.site/
4.2 在線演示
在線體驗地址：http://txy8g.songboy.site:8112/ 用戶名：admin 密碼：admin
注：在線體驗地址爲功能演示，不會對目標實際掃描~
4.3 靶場系統
您在安裝之後請不要對未獲得足夠授權的目標進行掃描，同時爲了讓你能夠快速上手，我們搭建了一些靶場系統授權你進行安全掃描：
4.4 聯繫我們
作者：湯青松
微信：songboy8888
日期：2022年1月9日