华为云用户手册

漏洞管理服务 CODEARTS INSPECTOR-如何获取网站cookie值？:使用浏览器插件获取网站cookie和storage值

使用浏览器插件获取网站cookie和storage值如果您的网站登录之后不仅设置了cookie，还设置了storage，只提供cookie无法使漏洞管理服务正常登录网站，建议您通过浏览器插件获取网站cookie、local storage和session storage值，以Google Chrome浏览器为例，步骤如下：下载浏览器插件Cookie Getter并解压缩。表1 下载列表支持浏览器下载地址 SHA-256文件校验 Google Chrome、Microsoft Edge Cookie Getter 7C35DC34F732B4B3F2B89C3B8ADAEE6ECE3079B991718AAB10B963F7D15B1468 打开Google Chrome浏览器，单击“设置”，单击“扩展程序”，打开“开发者模式”开关。单击“加载已解压的扩展程序”，选择解压后的文件根目录，加载浏览器插件。打开并登录网站。单击扩展程序-浏览器插件Cookie Getter图标，获取浏览器插件展示的JSON格式cookie和storage值全文。漏洞管理服务的Cookie登录支持设置“以分号分隔的键值对”和“JSON”两种格式cookie值。您可以按需裁剪或修改浏览器插件获取的数据，保持正确的JSON格式并提供必要的cookie和storage值即可。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-物理服务器可以使用漏洞管理服务吗？

物理服务器可以使用漏洞管理服务吗？当您的物理服务器为Linux操作系统，且满足以下版本要求时，如果您的物理服务器可以远程登录，则可以通过添加跳板机的方式使用漏洞管理服务。 EulerOS：支持的最低系统版本为EulerOS 2.2。 CentOS：支持的最低系统版本为CentOS 6.5。 RedHat：支持的最低系统版本为Red Hat Enterprise Linux 6.10。 Ubuntu：支持的最低系统版本为Ubuntu 16.04 server。 SUSE：支持的最低系统版本为SUSE Enterprise 11 SP4。 OpenSUSE：支持的最低系统版本为OpenSUSE 13.2。 Debian：支持的最低系统版本为Debian 8.2.0。 Kylin OS：支持的系统版本为Kylin OS V10 SP1。统信UOS：支持的系统版本为统信UOS V20。 Huawei Cloud EulerOS：支持的系统版本为HCE 2.0。 openEuler：支持的系统版本为openEuler 20.03。父主题：主机扫描类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-标准策略、极速策略和深度策略有哪些区别？

标准策略、极速策略和深度策略有哪些区别？漏洞管理服务提供支持以下3种网站扫描模式： “极速策略”：扫描的网站URL数量有限且漏洞管理服务会开启耗时较短的扫描插件进行扫描。 “深度策略”：扫描的网站URL数量不限且漏洞管理服务会开启所有的扫描插件进行耗时较长的遍历扫描。 “标准策略”：扫描的网站URL数量和耗时都介于“极速策略”和“深度策略”两者之间。有些接口只能在登录后才能访问，建议用户配置对应接口的用户名和密码，漏洞管理服务才能进行深度扫描。父主题：网站扫描类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-什么是区域和可用区？:如何选择区域？

如何选择区域？选择区域时，您需要考虑以下几个因素：地理位置一般情况下，建议就近选择靠近您或者您的目标用户的区域，这样可以减少网络时延，提高访问速度。在除中国大陆以外的亚太地区有业务的用户，可以选择“中国-香港”、“亚太-曼谷”或“亚太-新加坡”区域。在非洲地区有业务的用户，可以选择“非洲-约翰内斯堡”区域。在欧洲地区有业务的用户，可以选择“欧洲-巴黎”区域。资源的价格不同区域的资源价格可能有差异，请参见华为云服务价格详情。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-什么是区域和可用区？:什么是区域、可用区？

什么是区域、可用区？我们用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区创建资源。区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。图1阐明了区域和可用区之间的关系。图1 区域和可用区目前，华为云已在全球多个地域开放云服务，您可以根据需求选择适合自己的区域和可用区。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-漏洞管理服务如何收费？:计费模式

计费模式漏洞管理服务提供按需计费和包年/包月两种计费模式，用户可以根据实际需求选择计费模式。表2 各服务版本计费方式服务版本支持的计费方式说明价格详情基础版配额内的服务免费按需计费基础版配额内仅支持Web 网站漏洞扫描（域名个数：5个，扫描次数：每日5次）是免费的。基础版提供的以下功能按需计费：可以将Web 漏洞扫描或主机漏洞扫描任务升级为专业版规格进行扫描，扫描完成后进行一次性扣费。主机扫描一次最多支持20台主机。产品价格详情专业版包年/包月相对于按需付费，包年/包月购买方式能够提供更大的折扣，对于长期使用者，推荐该方式。包周期计费为按照订单的购买周期来进行结算。不限制扫描次数。高级版企业版

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-如何修复扫描出来的主机漏洞？

如何修复扫描出来的主机漏洞？不同的主机系统修复漏洞的方法有所不同，软件漏洞的修复需要具有一定专业知识的人员进行操作，根据服务器的情况进行漏洞修复，可参考漏洞管理服务给出的修复建议，修复漏洞时应按照如下的操作步骤进行修复。对需要修复的服务器实例进行备份，防止出现不可预料的后果。对需要修复的资产和漏洞进行多次确认。根据业务情况以及服务器的使用情况等综合因素，确认自己的资产是否需要做漏洞修复，并形成漏洞修复列表。在模拟测试环境中部署待修复漏洞的相关补丁，从兼容性和安全性方面进行测试，并输出补丁漏洞修复测试报告，报告内容应包含补丁漏洞修复情况、漏洞修复的时长、补丁本身的兼容性、以及漏洞修复可能造成的影响。进行漏洞修复时，最好多人在场，边操作边记录，防止出现误操作。漏洞修复完成后，在测试环境对目标服务器系统上的漏洞进行修复验证，确保服务器没有异常，输出详细的修复记录进行归档，方便日后遇见相关问题可快速反应。总之，为了防止在漏洞修复过程中出现问题，在漏洞修复前要及时备份、制定方案、在测试环境进行模拟测试验证可行性，在修复过程中要小心并及时记录，在修复后及时生成完备的修复报告进行归档。如果以上方案仍未能解决您的问题，建议您使用华为云“管理检测与响应”的安全加固功能，一站式完成漏洞修复。父主题：主机扫描类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-购买专业版漏洞管理服务的注意事项？

购买专业版漏洞管理服务的注意事项？如果您在购买专业版之前使用过免费体验版（即基础版）进行扫描，在购买专业版时，“扫描配额包”的选择必须等于或者大于当前资产列表已添加的网站个数。如果当前资产列表的某个基础版域名，您不想升级为专业版为其付费，请您在购买专业版之前对其进行删除。如果您只需要将当前基础版域名全部升级为专业版规格，“扫描配额包”的选择等于当前资产列表已添加的网站个数。如果您需要增加域名配额，即增加扫描的网站个数，“扫描配额包”的选择大于当前资产列表已添加的网站个数，且“扫描配额包”的选择值为您期望的域名配额值。购买成功后，当前资产列表所有基础版域名默认升级为专业版，享受专业版规格。父主题：计费类

漏洞管理服务 CODEARTS INSPECTOR 计费类
漏洞管理服务 CODEARTS INSPECTOR-漏洞管理服务支持哪些操作系统的主机扫描？

漏洞管理服务支持哪些操作系统的主机扫描？漏洞管理服务支持扫描的主机操作系统版本如下：支持的Linux操作系统版本，如表1所示。支持的Windows操作系统版本，如表2所示。表1 Linux操作系统版本分类支持的OS类型 EulerOS EulerOS 2.2, 2.3, 2.5, 2.8 and 2.9 64bit CentOS CentOS 6.10, 7.1, 7.2, 7.3, 7.4, 7.5, 7.6, 7.7, 7.8, 7.9, 8.0, 8.1, and 8.2 64 bit 说明： CentOS 8基于RedHat 8公开的补丁信息做检查。 RedHat Red Hat Enterprise Linux 6.10, 7.5, and 8 64bit Ubuntu Ubuntu 16.04, 18.04, 20.04, and 22.04 server 64bit SUSE SUSE Enterprise 11 SP4 64bit, SUSE Enterprise 12 SP1/SP2/SP3/SP4 64bit, SUSE Enterprise 15 SP1/SP2 64bit OpenSUSE OpenSUSE 13.2 and 42.2 64bit Debian Debian 8.2.0, 8.8.0, 9.0.0, 10.0.0, and 11.1.0 64bit Kylin OS Kylin OS V10 SP1 64bit 统信UOS V20 Huawei Cloud EulerOS HCE 2.0 openEuler openEuler 20.03 AlmaLinux AlmaLinux 8/9 Rocky Linux Rocky Linux 8/9 表2 Windows操作系统版本分类支持的Windows系统版本 Windows Server Windows Server 2012 R2，Windows Server 2016，Windows Server 2019 父主题：主机扫描类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-主机扫描为什么会扫描失败？

主机扫描为什么会扫描失败？主机扫描失败的主要原因有主机未进行授权、主机不可达，请参考以下方法排查您的主机扫描失败的原因并解决问题。排查主机是否完成了授权，如果未授权，请参见如何对主机进行授权完成主机授权。排查主机是否能正常访问，主机不能访问可能有以下几个原因：主机所在的安全组或网络ACL设置了访问限制，请参见如何解决主机不能访问添加策略允许漏洞管理服务的IP网段访问您的主机。主机IP被当成不信任IP被主机安全服务拦截，请参见解除拦截受信任的IP解除主机IP封禁，并参见配置SSH登录IP白名单将您的主机IP配置为白名单。使用了nat绑定主机进行扫描，建议您使用跳板机以及绑定公网的扫描方式进行主机扫描，具体操作请参见如何配置跳板机进行内网扫描？。主机IP被加入了CFW防护阻断策略或黑名单，访问被阻断，导致漏洞管理服务节点访问失败。您需要执行添加防护规则或添加白名单放行被阻断的IP，添加白名单时，“端口”是指源端口，“协议类型”选择“Any”。父主题：主机扫描类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-如何解决主机不能访问？:解决方法

解决方法如果是网络故障的原因导致主机不能访问，请在网络恢复后重新进行主机扫描。如果是因为开启了主机安全防护软件导致主机不能访问，则区分如下两种情况：如果未使用主机安全防护软件的“SSH登录IP白名单”功能，则请参考如何手动解除误拦截IP？，先检查IP是否被拦截，若已被拦截需要解除误拦截IP再重新进行主机扫描。若没有被拦截则请联系华为云技术支持工程师处理。该操作仅指导购买并开启了华为云企业主机安全（HSS）的客户。如果使用了主机安全防护软件的“SSH登录IP白名单”功能，则请参考开启了主机安全（HSS）如何配置SSH登录IP白名单将如下这些漏洞管理服务的扫描IP添加至主机访问的白名单中，再重新进行主机扫描。 119.3.232.114，119.3.237.223，124.70.102.147，121.36.13.144，124.70.109.117，139.9.114.20，119.3.176.1，121.37.207.185，116.205.135.49，110.41.36.44，139.9.57.171，139.9.1.44，121.37.200.40

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-如何解决主机不能访问？:开启了主机安全（HSS）如何配置SSH登录IP白名单

开启了主机安全（HSS）如何配置SSH登录IP白名单该示例仅指导购买并开启了华为云企业主机安全（HSS）且未配置过白名单的客户，如何将漏洞管理服务扫描IP添加至白名单。如果您使用的是其他主机安全防护产品，请自行添加。使用鲲鹏计算EulerOS（EulerOS with ARM）和Centos 8.0及以上版本的主机，SSH登录IP白名单功能对其不生效。配置了SSH登录IP白名单的服务器，只允许白名单内的IP通过SSH登录，启用该功能时请确保将所有需要发起SSH登录的IP地址都加入白名单中。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-为什么在扫描时会提示授权委托失败？

为什么在扫描时会提示授权委托失败？授权委托失败可以根据以下方法进行排查与解决。使用子账号进行扫描如果您登录华为云使用的是子账号，请确保该子账号所在的用户组拥有Agent Operator和Security Administrator这两个权限，否则扫描时会提示委托授权失败。使用企业账号（主账号进行扫描）（推荐）如果用户使用的是主账号扫描还是提示委托失败，可能是因为委托数量到达了上限。查询委托数量是否达到上限：将鼠标移动至用户名，单击“ 统一身份认证 ”，如图1所示，进入“用户”页面。图1 统一身份认证单击“委托”，进入“委托”页面查看委托数量，如图2所示，最多可委托10个。图2 委托数量父主题：主机扫描类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-如何查看用户组是否具有Tenant Administrator或VSS Administrator权限，及如何对用户组角色授权？

如何查看用户组是否具有Tenant Administrator或VSS Administrator权限，及如何对用户组角色授权？登录华为云，在右上角单击“控制台”。单击右上角的个人账号下的“统一身份认证”，进入“统一身份认证服务”页面。选择“用户组”，单击用户组名称即可查看角色授权记录。图1 查看用户组授权记录切换至“用户管理”页签，可以查看该用户组下的所有用户，也可以将其他用户添加至该用户组。如果该用户组缺少相应角色权限，单击“授权”，进入“选择策略”步骤，模糊搜索“Tenant Administrator”或“VSS Administrator”权限的关键字，勾选相应策略。单击“下一步”，设置最小授权范围。图2 设置最小授权范围单击“确定”，即可完成用户组角色授权。父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-成分分析的任务扫描失败怎么办？

成分分析的任务扫描失败怎么办？任务扫描失败可能由多种原因造成，需要针对具体情况进行分析，常见的失败原因如下：表1 常见失败原因分析失败原因解决方案文件解析异常文件本身存在不完整、结构异常等问题，导致服务无法正常解析。提供通用的压缩、固件、包格式文件重新创建扫描任务即可。文件上传中损坏文件在传送过程中损坏，导致无法正确解析。重新创建扫描任务进行扫描即可。其它原因导致任务失败多次重复创建任务后扫描任务仍然失败，可联系服务运维团队。若用户使用“按需套餐包”创建正式版任务，如果任务扫描失败，不会扣除套餐包配额；若用户使用免费版配额创建免费版任务，如果任务扫描失败，不会扣除免费版配额。父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-任务扫描超1小时仍然未结束？

任务扫描超1小时仍然未结束？根据样本统计，单任务平均扫描耗时约1小时，扫描时长跟以下几个因素有关：文件大小，文件越大扫描越耗时。代码量，代码量越多扫描越耗时。代码复杂程度，因为业务、代码实现的原因导致代码实现相对较复杂，调用链长，这些都会导致扫描耗时增加。故部分应用扫描时长会高于平均耗时，如超过12小时仍未结束，可能是因为某些异常原因导致任务无法正常结束，我们会判定该类任务未超时，终止任务执行、设置任务状态为“超时”。父主题：移动应用安全类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-任务部分检测项有数值，但任务状态显示失败？

任务部分检测项有数值，但任务状态显示失败？如下图显示，任务检测结果中安全漏洞检测有告警，隐私合规问题数为0，任务状态为“失败”。每个任务会进行多个检测项的检查，如基础安全检测、违规收集信息检测、隐私声明一致性检测等，整个检测过程分为应用解析、静态分析、动态运行三个阶段，因为应用自身原因，如闪退、无法解析、无法安装等原因导致其中某个阶段出现异常的时候任务会中止。这时候已经有了一部分检测结果，但为了保证整体任务检测完整性，我们会判定当前任务失败，且报告不可查看，扫描失败的任务不扣费。父主题：移动应用安全类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-扫描的隐私合规问题如何分析定位？

扫描的隐私合规问题如何分析定位？针对扫描结果中的隐私合规问题告警，可以通过以下几个信息进行分析定位，并整改处理。截图：在动态运行APP过程中，对部分涉及界面的合规问题进行截图举证，在最终扫描结果中提供截图展示，用户可根据截图进行告警分析。调用栈：涉及收集个人数据类告警，包括第三方SDK收集，扫描结果中会提供代码调用栈信息，帮助应用开发人员快速查找问题点。隐私申明片段：对于应用实际行为与隐私声明不一致的合规问题，扫描结果中会提取相应的隐私审批片段，能快速从应用隐私申明、第三方SDK隐私申明中定位问题点。相应政策规范：该项告警违反的哪些规范条目，在扫描报告中详细列举，用户可以针对性的进行分析整改。父主题：移动应用安全类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-扫描的安全漏洞告警如何分析定位?

扫描的安全漏洞告警如何分析定位? 针对移动扫描的安全漏洞，如何通过报告提供的信息进行分析、定位、修复？检测结果提供了如下信息：报告提供了问题代码信息，包括文件名及其路径，可以通过该信息快速定位到问题文件。针对部分检测问题，如签名安全检测告警，无具体问题文件显示。漏洞特征信息，主要为安全漏洞所涉及的函数代码。安全漏洞修复建议，结合上述代码信息确定具体告警位置，分析漏洞告警是否确认为安全漏洞。父主题：移动应用安全类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-任务状态显示失败如何处理？

任务状态显示失败如何处理？任务扫描失败可能由多种原因造成，需要针对具体情况进行分析，常见的失败原因如下：表1 常见失败原因分析失败原因分析解决方案应用文件解析异常应用文件本身存在不完整、结构异常等问题，导致服务无法正常解析。提供正确的应用文件重新创建扫描任务即可。应用文件上传中损坏应用文件在传送过程中损坏，导致无法正确解析，重新创建扫描任务进行扫描即可。其它原因导致任务失败多次重复创建任务后扫描任务仍然失败，可联系失败任务不会产生扣费，可重新创建任务进行扫描。父主题：移动应用安全类

漏洞管理服务 CODEARTS INSPECTOR 移动应用安全类
漏洞管理服务 CODEARTS INSPECTOR-成分分析的信息泄露问题如何分析？

成分分析的信息泄露问题如何分析？成分分析基于静态风险检测，会对用户上传的软件包/固件进行解压并分析其中的文件，识别包中是否存在信息泄露类风险，如敏感IP、GIT/SVN仓、弱口令、硬编码密钥等风险。针对已识别的信息泄露类风险，可以通过查看导出报告中的告警详情，如PDF报告，可以在结果概览中确认是否有信息泄露风险。如果有，则可以查看相应信息泄露明细，每个告警都会包含以下几个说明，针对工具扫描出的风险清单，用户可以基于自身实际使用情况判断是否有信息泄露风险，如存在，则采取不同措施屏蔽或修改即可。问题类型：IP泄露/硬编码密码/Git地址泄露等。文件路径：发现信息泄露的文件在包中的全路径。上下文内容：发现风险的文本行内容，包含风险内容和上下文内容。匹配内容：实际发现的风险内容。匹配位置：在文件中x行，x位置发现的信息泄露风险。父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-成分分析的安全配置类问题如何分析？

成分分析的安全配置类问题如何分析？成分分析会检测用户包中一些安全配置项是否合规，主要如下：用户上传的软件包/固件中存在的敏感文件，如（密钥文件，证书文件，源码文件, 调试工具等）。用户上传的软件包/固件中操作系统中的用户与组配置、硬编码凭证、认证和访问控制等配置类问题。若不存在操作系统，则不涉及。安全配置类检查问题分析指导：导出PDF报告，搜索【安全配置检查概览】关键字，可以看到各检查项的结果，pass表示通过，failed表示未通过，NA表示不涉及（若无操作系统，则针对操作系统配置检查项为不涉及）。搜索【安全配置检查】关键字，可以查看具体每项的检查结果。检查结果说明：审视项：检查的方式/方法。问题：存在问题的文件列表，若无问题则显示暂无问题。建议值：针对检查出的问题给出的修改建议。描述：审视项描述。父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-成分分析的开源软件风险如何分析？

成分分析的开源软件风险如何分析？成分分析基于静态风险检测，会对用户上传的软件包/固件进行解压并分析其中的文件，识别包中文件包含的开源软件清单，并分析是否存在已知漏洞、License合规等风险。用户扫描完成后，建议按照以下步骤进行分析排查：开源软件分析，分析开源软件是否存在以及软件版本是否准确。基于报告详情页面或导出的报告中开源软件所在文件全路径找到对应文件，然后分析该文件中开源软件是否存在或准确（可由相关文件的开发或提供人员协助分析），如果否，则无需后续分析。已知漏洞分析，分析已知漏洞是否准确。通过NVD、CVE、CNVD等社区搜索相关CVE已知漏洞编号，获取漏洞详情概要分析：查看影响的软件范围，如CVE-2021-3711在NVD社区中的Known Affected Software Configurations，如下图，确认漏洞是否影响当前使用的软件版本，如果当前使用的软件版本不在影响范围内，则初步说明漏洞可能不涉及/影响。精细化分析：漏洞通常存在于某些函数中，可以通过社区中的漏洞修复补丁确认漏洞详情、涉及函数以及修复方式，如下图，用户可以结合自身软件对于相关开源软件功能的使用是否涉及相关漏洞 License合规分析。基于报告中开源软件及对应的License分析软件是否合规，满足公司或准入要求。风险解决方式：已知漏洞：如果当前使用的软件版本存在漏洞，可通过升级软件版本至社区推荐版本解决。紧急情况下也可以通过社区推荐的patch修复方式临时解决。 License合规：如果使用的软件存在合规风险，则需要寻找相似功能且合规的开源软件进行替代。父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-成分分析的扫描原理是什么，主要识别哪些风险？

成分分析的扫描原理是什么，主要识别哪些风险？对用户提供的软件包/固件进行全面分析，通过解压获取包中所有待分析文件，基于组件特征识别技术以及各种风险检测规则，获得相关被测对象的组件BOM清单和潜在风险清单。主要包括以下几类：开源软件风险：检测包中的开源软件风险，如已知漏洞、License合规等。安全配置风险：检测包中配置类风险，如硬编码凭证、敏感文件（如密钥、证书、调试工具等）问题、OS认证和访问控制类问题等。信息泄露风险：检测包中信息泄露风险，如IP泄露、硬编码密钥、弱口令、 GIT/SVN仓泄露等风险。安全编译选项：支持检测包中二进制文件编译过程中相关选项是否存在风险。图1 风险项父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-成分分析的主要扫描规格有哪些？

成分分析的主要扫描规格有哪些？支持的编程语言类型：C/C++/Java/Go/JavaScript/Python/Rust/Swift/C#/PHP。支持的文件：.7z、.arj、.cpio、.phar、.rar、.tar、.xar、.zip、.jar、.apk、.war等格式文件，及Android OTA Images、Android sparse、Intel HEX、RockChip、U-Boot等固件。支持上传的文件大小：不超过5GB。平均扫描时间预估：根据不同的压缩格式或者文件类型扫描时长会有一定的差异，平均100MB/6min。服务采用基于软件版本的方式检测漏洞，不支持补丁修复漏洞场景的检测。父主题：二进制成分分析类

漏洞管理服务 CODEARTS INSPECTOR 二进制成分分析类
漏洞管理服务 CODEARTS INSPECTOR-漏洞管理服务和传统的漏洞扫描器有什么区别？

漏洞管理服务和传统的漏洞扫描器有什么区别？漏洞管理服务和传统的漏洞扫描器的区别如表1所示。表1 漏洞管理服务和传统的漏洞扫描器的区别对比项传统的漏洞扫描器漏洞管理服务使用方法使用前需要安装客户端。不需要安装客户端，在管理控制台创建任务（输入域名或IP地址）就可以进行漏洞扫描，节约运维成本。更新漏洞库方式手动更新漏洞库，更新不及时。云端同步更新漏洞库，涵盖最新漏洞，可以及时检测用户的网站是否有最新爆发的漏洞威胁。父主题：产品咨询类

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-新网站资产管理方式会存在什么影响？:影响

影响扫描任务操作逻辑变化。之前“创建任务”界面的“目标网址”中填写的网站URL，直接在新界面的“网站地址”处填写即可。图1 填写网站地址历史任务处理。对于已存在的历史任务，有两种方式进行扫描。在“查看报告”界面，单击“重新扫描”，对上一次扫描的网站重新进行扫描。图2 重新扫描历史任务通过“新建网站”资产，指定具体网站URL。假如历史任务的目标网址为：http://www.example.com/home/index，则新建网站时，“网址地址”与该历史任务的目标网址保持一致。图3 网站地址新增网站的具体操作请参考添加网站。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-如何修复TLS弱加密套件？:配置修改方法

配置修改方法通常Web应用的TLS/SSL协议由Web容器配置（常见的Tomcat/Nginx/Apache），或者通过云服务供应商提供的服务配置（WAF/Https）。开发人员需要根据自身业务情况确认配置位置，并了解TLS/SSL相关配置项。常见的参考： Apache Tomcat 8 (8.5.73) - SSL/TLS Configuration How-To SSL/TLS Strong Encryption: How-To - Apache HTTP Server Version 2.4 Nginx Configuring HTTPS servers 也可以参考Mozilla SSL Configuration Generator自动生成的TLS/SSL配置来修改。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-如何修复TLS弱加密套件？:基本概念

基本概念加密套件是TLS/SSL协议中的一个概念，是指服务器和客户端所使用的加密算法组合。在TLS握手阶段，客户端将自身支持的加密套件列表告诉服务器，服务器根据自己支持的所有套件中选择一个作为之后所使用的加密方式。这些算法包括密钥交换算法、批量加密算法和消息认证码（MAC）算法，组合起来有数百种不同的密码套件。这些密码套件中有的安全性较差，称为弱加密套件，例如：TLS_DHE_RSA_WITH_AES_128_GCM_SHA256。

漏洞管理服务 CODEARTS INSPECTOR
漏洞管理服务 CODEARTS INSPECTOR-使用了Web应用防火墙，对网站扫描时SSL/TLS存在bar mitzvah attack漏洞？

使用了 Web应用防火墙，对网站扫描时SSL/TLS存在bar mitzvah attack漏洞？使用了Web应用防火墙（WAF）对网站扫描时SSL/TLS存在bar mitzvah attack漏洞，需要设置TLS配置。登录Web应用防火墙控制台。进入网站设置页面入口。在目标网站所在行的“防护网站”列中，单击目标网站，进入网站基本信息页面。在“TLS配置”所在行，单击修改TLS配置。选择“TLS v1.2”和“加密套件2”，加密算法为EECDH+AESGCM:EDH+AESGCM。图1 TLS配置单击“确定”。重新对网站进行扫描即可正常。父主题：网站扫描类

漏洞管理服务 CODEARTS INSPECTOR

共100000条

undefined

意见反馈

0/200

提交取消

提交成功！非常感谢您的反馈，我们会继续努力做到更好反馈提交失败！请稍后重试！

华为云用户手册

7*24

备案

专业服务

退订

建议反馈

售前咨询热线