httpdss/archerysec

ArcherySec镜像说明

镜像概述

ArcherySec是一款开源的漏洞评估与管理工具，旨在帮助开发者和渗透测试人员执行安全扫描并管理漏洞。它整合了OWASP ZAP、OpenVAS、Nmap等多款开源安全工具，支持Web应用动态认证扫描、网络漏洞扫描，并提供漏洞管理、REST API、JIRA集成等功能，适用于DevOps CI/CD环境。

核心功能

• 整合开源工具进行Web及网络漏洞扫描
• 统一展示和管理所有扫描数据
• 支持认证式Web应用扫描（含Selenium）
• 提供漏洞生命周期管理
• REST API支持，便于集成到DevOps流程
• JIRA工单系统集成
• 子域名发现与扫描、周期性扫描、并发扫描

使用场景

• 开发团队：在CI/CD流程中嵌入安全扫描，提前发现代码或应用漏洞
• 渗透测试人员：整合多种扫描工具，高效完成漏洞评估
• 安全团队：集中管理组织内所有系统的漏洞数据，跟踪修复进度

配置说明

环境变量

主要环境变量包括：

• TIME_ZONE：设置时区（如Asia/Shanghai）
• DB_PASSWORD：PostgreSQL数据库密码
• DB_USER：数据库用户名
• DB_NAME：数据库名称
• DJANGO_SECRET_KEY：Django应用密钥（需自行生成）
• EMAIL_HOST：SMTP服务器地址（用于邮件通知）

第三方工具集成

ZAP配置

1. 以守护进程模式启动ZAP：

   bash
   zap.sh -daemon -host 0.0.0.0 -port 8080 -config api.disablekey=true -config api.addrs.addr.name=.* -config api.addrs.addr.regex=true
   

2. 在ArcherySec设置页面填写ZAP API地址、端口等信息。

OpenVAS配置

在ArcherySec设置页面填写OpenVAS Manager的地址、端口、用户名和密码。

Docker部署示例

直接运行

bash
# 拉取镜像
docker pull docker.xuanyuan.run/httpdss/archerysec
# 运行容器（映射端口8000）
docker run -it -p 8000:8000 docker.xuanyuan.run/httpdss/archerysec:latest
# 持久化数据（映射本地目录到容器内）
docker run -it -p 8000:8000 -v /本地目录:/archerysec docker.xuanyuan.run/httpdss/archerysec:latest

Docker Compose部署

创建docker-compose.yml文件：

yaml
version: '3'
services:
  archerysec:
    image: docker.xuanyuan.run/httpdss/archerysec:latest
    ports:
      - "8000:8000"
    volumes:
      - ./data:/archerysec
    environment:
      - TIME_ZONE=Asia/Shanghai
      - DB_PASSWORD=your_db_password
      - DB_USER=your_db_user
      - DB_NAME=your_db_name
    depends_on:
      - postgres
  postgres:
    image: docker.xuanyuan.run/postgres:13
    environment:
      - POSTGRES_PASSWORD=your_db_password
      - POSTGRES_USER=your_db_user
      - POSTGRES_DB=your_db_name
    volumes:
      - ./postgres_data:/var/lib/postgresql/data

执行命令启动：

bash
docker-compose up -d