70%的网站存在漏洞，与此同时新增漏洞数量也在连年攀升，据我国权威漏洞平台统计，近年来新收录安全漏洞年平均增长率为21.6%。漏洞扫描作为针对性解决漏洞安全问题的产品，为企业提供一个攻击者的视角，理应能够主动检测企业中可能存在的风险隐患。

然而在国内，发展十年有余的漏洞扫描类产品的现状是怎样的呢？我们来听听客户的心声：

l 资产发现不全，影响扫描：网站技术不断突破创新，资产扫描难度加大，传统漏洞扫描器跟不上变化，找不全资产，做不到精细化扫描。

l 误报多，耽误业务：成堆无重点威胁告警信息占用安全成本，结局往往是 “花了精力抓木马，最后发现全是流氓软件推广”，浪费资源。

l 漏洞修复成本高：应用“带病”上线，漏洞越积越多，修复成本也越累越高。

洞鉴（X-Ray），作为长亭科技一条重要的漏扫类产品线，就是在这样的背景下，基于对大量客户的行为研究，打磨出的体系化漏洞扫描类产品。洞鉴（X-Ray）以攻击者视角评估安全风险，采用资产识别加漏洞验证的方式，精准发现潜在安全风险，产品核心价值贴合企业各类安全评估场景，能有效应对因漏洞带来的潜在风险。

全面发现资产，精准识别漏洞

单页面 Web 应用（Single Page Web Application，SPA）是Web资产发现的难中之难，由于传统的静态爬虫无法解析和渲染其中的 JavaScript，所以传统扫描器很难全面发现单页面Web应用资产。无头浏览器（Headless Browser）虽然可以解决 JavaScript 解析和渲染的需求，但是多数只是对 URL 进行渲染，不会产生交互行为，或者只对特定站点进行定制化交互渲染，缺乏通用性的高交互操作行为分析，容易缺失信息，导致遗漏 URL。

洞鉴（X-Ray）通过机器学习技术，以各类 Web 应用页面结构作为训练样本，形成高仿真实时渲染 DOM 遍历算法，对页面进行高交互深度分析，智能模拟 “人”的单击、双击、拖拽等操作，实现智能遍历登录、提交表单、触发复杂 JS 交互逻辑等操作，达到全面获取目标站点 URL 信息的目的，从而实现对 Web 资产的全面发现。

零误报，不影响业务

洞鉴（X-Ray）采用业务场景精细化语义分析、自启发式漏洞检测算法和 POC 验证式漏洞检测技术，对每个漏洞进行真实验证，避免误报的产生：利用专业安全攻防人员的经验和知识，针对业务场景进行精细化分析，深度遍历每个可能存在漏洞的位置，通过向目标系统发送真实的无害“攻击”载荷，分析目标系统变化和返回内容，判断是否存在漏洞。

以 XSS 漏洞检测为例，洞鉴（X-Ray）在进行漏洞检测过程中，会通过以下步骤进行漏洞的发现和验证：

1. 根据信息收集阶段获取的URL，找出和定位可以进行攻击的所有输入点；

2. 尝试在输入点用各种验证规则的 POC 检测可能导致 HTML 边界异常的所有情况；

3. 根据返回结果的 DOM 特征或错误信息判断是否存在漏洞。

详情可见：

精细化扫描 XSS 漏洞 – 智能化场景分析

洞鉴（X-Ray）内置自动化盲打平台，构造各类攻击载荷和回显命令，在目标系统不回显信息情况下，使其反向连接盲打平台，回传漏洞验证信息，深入发现可能存在的存储型 XSS、文件上传、SSRF、XXE 等漏洞，提升检测准确率。

构建企业 DevSecOps，降低安全测试成本

DevOps（Development 和 Operations 的组合词）是一组过程、方法与系统的统称，它是一种重视“软件开发人员（Dev）”和“IT运维技术人员（Ops）”之间沟通合作的文化、运动或惯例，透过自动化“软件交付”和“架构变更”的流程，来使得构建、测试、发布软件能够更加地快捷、频繁和可靠。—百度百科

DevOps 提升了软件交付和架构变更效率，随之诞生的DevSecOps概念则有效解决了软件安全检测效率低下的问题，这就要求企业从一开始就要考虑应用和基础架构的安全性，同时还要让某些安全网关实现自动化，以防止 DevOps 工作流程变慢。

洞鉴（X-Ray）提供代理或流量镜像的模式，通过被动收集系统信息的方式，无感地接入研发的功能测试阶段，使得功能测试与安全测试并行，从源头上降低信息系统安全风险，在系统在上线前做到对安全风险“早发现，早解决”，从而消除上线前威胁，降低研发和安全测试成本。

自动化探测逻辑漏洞，降低业务风险

业务逻辑漏洞主要是由于程序逻辑输入管控不严，导致程序不能够正常处理或处理错误，一般出现在登录注册、密码找回、信息查看、交易支付金额等业务功能处。由于逻辑漏洞与业务场景紧密相关，检测难度大，在通用漏洞检测趋向完备的情况下，对逻辑漏洞进行自动化检测的工具却寥寥无几。

洞鉴（X-Ray）结合长亭科技安全团队丰富的渗透测试经验，从黑客视觉对常见业务场景进行威胁建模，通过大数据分析和机器学习，智能模拟人的行为，实现半自动化或全自动化逻辑漏洞测试的流程。

实时更新 0day 漏洞

长亭科技安全研究团队在国内外黑客大会中屡次披露重大安全漏洞，在国内外安全漏洞公开平台、各大互联网公司安全响应中心（SRC）中保持较高的贡献量。

洞鉴（X-Ray）的漏洞库由长亭安全研究团队更新维护，安全研究团队成果会定期转化为引擎和插件更新包。突发重大安全漏洞事件时，长亭科技承诺 24小时内响应并提供检测插件，确保企业客户第一时间掌握漏洞影响的资产范围，便于及时制定和执行修复计划。

长亭科技作为新兴安全厂商的代表，在不断实现技术创新的同时，更加注重技术的落地，洞鉴（X-Ray）的诞生就是为了解决企业实实在在的痛点问题，不断鉆研企业实际业务需求，研发出真正适合企业的漏洞扫描系列产品。大家有任何企业安全上的痛点问题欢迎留言反馈，我们会第一时间与您取得联系，为您排忧艰难。