securecodebox/scanner-ssh-audit

OWASP secureCodeBox 镜像概述

https://github.com/secureCodeBox/ 是一个自动化、可扩展的开源解决方案，用于集成各种安全漏洞扫描器，提供简单轻量的操作界面。其使命是支持DevSecOps团队轻松实现不同场景下的安全漏洞测试自动化，帮助在开发过程早期发现低风险问题，让渗透测试人员专注于重大安全问题。该项目运行在Kubernetes上（需使用Helm包管理器），也可基于Docker基础设施启动集成的安全漏洞扫描器。

本镜像为secureCodeBox的scanner组件，需与对应的parser镜像配合使用，以将扫描结果解析为通用的secureCodeBox格式。

核心功能与特性

• 集成SSH审计工具：内置ssh-audit工具，支持SSH服务器和客户端配置审计
• 灵活配置选项：支持指定SSH版本、端口、超时时间、输出格式（如JSON）等
• 批量扫描能力：支持多目标批量扫描及线程控制
• 自动化兼容：无缝集成secureCodeBox自动化扫描流程，支持DevSecOps工作流
• 标准化输出：配合parser镜像可将扫描结果转换为secureCodeBox通用格式，便于统一分析

支持的标签

• latest（最新稳定发布版本）
• 版本化标签，如 3.0.0、2.9.0、2.8.0、2.7.0 等

使用方法

拉取镜像

bash
docker pull securecodebox/scanner-ssh-audit

基本使用说明

本镜像需与secureCodeBox的parser镜像配合使用，以解析扫描结果。详细使用指南可参考官方文档。

SSH-audit工具介绍

ssh-audit是一款用于SSH服务器和客户端配置审计的工具，可检查SSH协议版本、加密算法、密钥交换方法等配置安全性，帮助发现潜在的安全漏洞。更多信息请访问https://github.com/jtesta/ssh-audit。

扫描器配置参数

以下配置选项基于https://github.com/jtesta/ssh-audit#usage，完整参数请参考原文档：

bash
usage: ssh-audit.py [options] <host>

   -h,  --help             显示帮助信息
   -1,  --ssh1             强制仅使用SSH版本1
   -2,  --ssh2             强制仅使用SSH版本2
   -4,  --ipv4             启用IPv4（优先顺序）
   -6,  --ipv6             启用IPv6（优先顺序）
   -b,  --batch            批量输出模式
   -c,  --client-audit     在端口2222启动服务器以审计客户端配置（使用-p修改端口，-t修改超时）
   -d,  --debug            启用调试输出
   -g,  --gex-test=<x[,y,...]>  DH组交换模数大小测试，格式：<min1:pref1:max1[,min2:pref2:max2,...]> 或 <x-y[:step]>
   -j,  --json             JSON格式输出（使用-jj启用缩进）
   -l,  --level=<level>    最小输出级别（info|warn|fail）
   -L,  --list-policies    列出所有官方内置策略
        --lookup=<alg1,alg2,...>  查找指定算法（无需连接服务器）
   -m,  --manual           打印手册页（仅Windows）
   -M,  --make-policy=<policy.txt>  基于目标服务器创建策略（目标服务器配置作为理想标准）
   -n,  --no-colors        禁用颜色输出
   -p,  --port=<port>      连接端口
   -P,  --policy=<"policy name" | policy.txt>  使用指定策略运行策略测试
   -t,  --timeout=<secs>   连接和读取超时时间（秒，默认：5）
   -T,  --targets=<hosts.txt>  包含目标主机列表的文件（每行一个，格式HOST[:PORT]）
        --threads=<threads>    多目标扫描时的线程数（默认：32）
   -v,  --verbose          详细输出

使用场景

• DevSecOps流程中SSH服务器配置的自动化审计
• 客户端SSH软件配置安全性检查
• 持续集成/持续部署（CI/CD） pipeline中的SSH配置合规性测试
• 多服务器环境的批量SSH安全配置扫描

社区支持

欢迎加入我们：

• https://github.com/secureCodeBox/
• OWASP Slack（#project-securecodebox频道）
• ***

secureCodeBox是官方OWASP项目。

许可证

![License]([***]

与所有Docker镜像一样，本镜像可能包含其他软件，这些软件可能具有其他许可证（如基础发行版中的Bash等，以及主要软件的任何直接或间接依赖项）。使用本镜像时，用户有责任确保对镜像中包含的所有软件的使用符合相关许可证要求。