checkmarx/dast

Checkmarx DAST Docker镜像文档

镜像概述

Checkmarx DAST Docker镜像是基于OWASP ZAP的动态应用安全测试（DAST）工具容器化版本，用于对Web应用和API进行自动化安全漏洞扫描。该镜像集成DAST+ZAP引擎，支持通过命令行界面（CLI）执行扫描任务，并与Checkmarx CxOne平台集成，需通过CxOne用户API密钥进行认证。支持linux/amd64和linux/arm64架构，提供稳定版（latest）和每周更新版（weekly-latest）标签。

核心功能与特性

扫描类型支持

• Web扫描：通过爬虫发现目标网站端点并执行***测试
• API扫描：基于预定义端点列表进行***，支持：
  • OpenAPI规范文件（--openapi参数）
  • Postman集合文件（--postman参数）
  • 注：API扫描必须且只能指定上述参数之一，二者不可同时使用

关键特性

• 与CxOne平台深度集成，扫描结果关联指定环境ID
• 灵活的配置文件支持（YAML格式），需挂载至容器并确保读写权限
• 可自定义扫描超时时间（最大硬限制为24小时）
• 多架构支持，适配不同硬件环境
• CLI驱动的全自动化扫描流程

使用场景

• Web应用动态安全测试：通过爬虫发现未知端点并检测漏洞
• API安全测试：基于OpenAPI规范或Postman集合对已知API端点进行安全评估
• CI/CD流程集成：作为自动化安全测试环节，在应用发布前执行漏洞检测
• 多环境安全验证：关联CxOne环境ID，实现不同部署环境的安全状态跟踪

使用方法

拉取镜像

稳定版（DAST+ZAP官方最新发布）

sh
docker pull checkmarx/dast:latest

每周更新版（DAST+ZAP-WEEKLY最新发布）

sh
docker pull checkmarx/dast:weekly-latest

扫描命令详解

扫描类型说明

• web：爬取网站生成端点列表并执行***
• api：***已知端点，需指定OpenAPI或Postman文件（二选一）

API扫描特殊要求

• 必填条件：必须指定以下参数之一
  • --openapi：OpenAPI规范文件路径
  • --postman：Postman集合文件路径
• 互斥条件：--openapi与--postman不可同时使用，仅适用于api扫描类型

Docker参数说明

扫描参数说明

扫描示例

Web扫描示例

sh
docker run --e CX_APIKEY=<your-api-key> \
  -v /local/workdir:/workdir \
  checkmarx/dast:latest \
  web \
  --environment-id <env-id> \
  --base-url https://cxone.example.com \
  --output /workdir/output \
  --timeout 3600

API扫描（OpenAPI示例）

sh
docker run --e CX_APIKEY=<your-api-key> \
  -v /local/workdir:/workdir \
  checkmarx/dast:latest \
  api \
  --environment-id <env-id> \
  --base-url https://cxone.example.com \
  --output /workdir/output \
  --openapi /workdir/openapi-spec.yaml \
  --timeout 7200

API扫描（Postman示例）

sh
docker run --e CX_APIKEY=<your-api-key> \
  -v /local/workdir:/workdir \
  checkmarx/dast:latest \
  api \
  --environment-id <env-id> \
  --base-url https://cxone.example.com \
  --output /workdir/output \
  --postman /workdir/postman-collection.json \
  --timeout 7200

过时命令说明

• Generate命令：自2.3.19版本起废弃，原用于生成ZAP配置文件，支持no-auth/form-auth/json-auth认证类型，现已不再支持。

CLI选项

查看帮助

sh
docker run checkmarx/dast:latest help

查看命令详情

sh
docker run checkmarx/dast:latest [command] --help

版本历史

2.3.36-w2025-10-14

• DAST-CLI 2.3.36与ZAP_WEEKLY_D-2025-10-14
• 修复ZAP扫描警告导致标记为失败的问题
• 支持架构：linux/amd64, linux/arm64

2.3.35-w2025-10-14

• DAST-CLI 2.3.35与ZAP_WEEKLY_D-2025-10-14
• 支持架构：linux/amd64, linux/arm64

2.3.19-w2025-09-15

• DAST-CLI 2.3.19与ZAP_WEEKLY_D-2025-09-15
• "generate"命令正式废弃
• 支持架构：linux/amd64, linux/arm64

2.3.4

• DAST-CLI 2.3.4与ZAP 2.16及更新插件（截至2025年3月10日）
• 镜像支持多架构：linux/amd64和linux/arm64

2.1.0

• 新增API扫描参数--postman，支持Postman集合文件
• API扫描要求：必须指定--openapi或--postman（二选一）

2.0.0

• 修复高安全漏洞，增强镜像安全性和完整性
• 不兼容旧版本，建议立即更新至最新版
• 支持架构：linux/amd64, linux/arm64

1.0.9及更早版本

• 已过时，不再支持
• 曾支持--poll-timeout和--poll-ticker参数调整结果轮询配置

参考链接

官方文档：[***]