阿里云漏洞敏捷管理自动化报告

新钛云服已累计为您分享692篇技术干货

一、需求

某天，有个客户提了个需求，需要我们每个月定期发送应急漏洞和系统漏洞的报表，并需要手动关联项目代码和供应商负责人等相关信息。

我们在操作过程中遇到以下几个问题：

1、客户的云安全中心是免费版本，无法点击下载按钮一键下载，只能通过api去调，生成自动报表

2、手动操作通过谷歌浏览器安装XPATH插件，提取字段列模式，生成Excel表格，并关联各个字段生成报表，手动操作耗时耗力，无法避免人操作失误

漏洞自动化流程图：

二、应用场景实践

1、了解阿里云OpenAPI

阿里云 OpenAPI 开发者门户是一款集 OpenAPI 智能搜索、OpenAPI 文档、OpenAPI 在线调试、SDK 获取、CodeSample、调用出错诊断、调用统计。您可以在 OpenAPI Explorer 中调用阿里云各云产品开放的 API，查看API请求和返回结果。此外，OpenAPI Explorer 会自动生成相应 API 的 SDK 调用示例，帮助您使用阿里云 API。

OpenAPI Explorer 登录地址：https://next.api.aliyun.com。

OpenAPI Explorer 提供以下功能

• API 检索

汇集阿里云多个产品的 API，可以在此集中检索，快速找到您所需要的 API。

• API 调用

无需编写代码，在调用页面中填写请求参数，便可调用 API。

• 查看 API 请求

根据您填写的请求参数自动生成 API 请求，并打印到网页上，让您直观的查看到真实发送的 API 请求。

• 结构化输出返回结果

根据 API 请求，返回真实的 API 调用结果，结构化输出。

• 生成 SDK 调用示例

根据输入的 API 请求参数，自动生成多种语言的 SDK 调用示例。

• 命令行调用

提供网页版命令行工具，模拟 Linux 操作体验使用命令行调用 API。

使用场景

OpenAPI Explorer 致力于帮助您更快地查找阿里云云产品 API 、更便捷地使用阿里云的 API 进行二次开发。您可以使用 OpenAPI Explorer 来检索阿里云开放了哪些 API、查看 API 定义，适用于 API 调试、故障排查等场景。

•API 调试

在基于阿里云 API 进行二次开发前，您可以预先验证 API 请求方式和查看 API 的返回结果。OpenAPI Explorer 提供了网页和命令行两种方式，让您直观的查看 API 的调用结果。而且，当调用出错时，OpenAPI Explorer 还会提示您如何解决。

•查看 SDK 示例

在您使用 SDK 进行开发时，往往需要一些代码示例来辅助您进行开发。在 OpenAPI Explorer 中输入 API 请求参数的同时，会帮您生成 Java、PHP、Python、Node.js 的示例代码，以引导您进行开发。

2、扫描漏洞

在了解了阿里云OpenAPI之后，我们尝试使用它完成第一个需求，使用python脚本自动开启控制台漏洞修复页面的一键扫描功能，这里以。

开启控制台漏洞修复页面的一键扫描功能API地址：
       https://next.api.aliyun.com/api/Sas/2018-12-03/ModifyStartVulScan?params={}

第一步、OpenAPI 在线调试

打开上面的链接地址，找到“开启控制台漏洞修复页面的一键扫描功能”这个API，按照需求填写服务地址和参数（注意：带星号的参数必填），填完参数后点击“发起调用”按钮。可以看到右边画圈位置，“200 OK”则调用完成且成功，并在下方查看调用后的结果。如果调用失败，请根据错误提示，修改API请求。

可以看到云安全中心已经开始扫描应用漏洞了。

更多接口详细信息，请看API文档，地址：https://next.api.aliyun.com/document/Sas/2018-12-03/ModifyStartVulScan

第二步、使用 SDK 进行二次开发

首先，按照下图所示，获取SDK安装命令，在本地执行安装SDK。

Python
pip install alibabacloud_sas20181203==1.1.29

安装完SDK依赖后，按照下图所示，根据需求填写服务地址和参数。点击“SDK示例”按钮，我这里是使用python语言进行的二次开发，所以这边选择“Python”按钮，复制下面的示例代码，按照下面的步骤进行修改后方可使用。另外，如果在参数配置中填写了参数，则会自动将该参数填写到SDK示例代码中，对我们新手来说非常友好。

那参数该怎么填呢？如下图所示，将鼠标移至参数旁的问号图标上，即可看到可以设置哪些取值。

填写cve，则只会扫描Linux软件漏洞；填写sys，则只会扫描Windows系统漏洞；同理，......。注意看下面的说明，如果该职位空，会检测所有漏洞类型。所以在填写参数的时候一定要看仔细，尤其是一些危险的操作，确保没问题后再执行。