炸裂！这款安全扫描神器让漏洞无处遁形，业界最强没有之一！

棉花糖糖糖
棉花糖糖糖

棉花糖网络安全工具箱

2026年5月19日 11:04
四川

在小说阅读器读本章

去阅读

郑重声明：本文仅作技术交流之用，严禁利用文中提及的工具从事任何未经授权的渗透测试、漏洞扫描或安全评估活动。使用者需具备合法授权资质，并严格遵守所属地区的网络安全法律法规。

重点导读项目概览

Z0SCAN是一款基于Python3开发的自动化安全扫描框架，集成主动扫描、被动扫描、爬虫联动、指纹识别、插件扩展等核心功能模块。该项目采用GPL-2.0开源协议，支持Windows、Linux、macOS多平台运行，提供Docker容器化部署方案。

重点导读核心架构

PART 01扫描引擎

系统底层采用多线程并发架构，主控制模块位于lib/controller/controller.py，负责任务调度与插件协调。扫描任务通过队列机制分发，支持被动代理模式与主动URL检测两种运行方式。

代理服务器基于lib/proxy/baseproxy.py实现的异步MITM代理，支持HTTPS流量解析与请求拦截。被动扫描模式下，工具监听指定端口（默认5920）接收浏览器流量，进行实时漏洞检测。

PART 02插件系统

扫描插件按作用域分为四个层级：

• PerPage：页面级插件，作用于单个URL响应
• PerDir：目录级插件，作用于目录路径
• PerDomain：域名级插件，作用于整个域名
• PerHost：主机级插件，作用于IP及端口

插件加载器位于scanners/loader.py，支持运行时动态加载与禁用。

PART 03爬虫模块

集成Crawlergo无头爬虫实现动态页面抓取，配置文件config.py中的CRAWLERGO_PATH与CHROME_PATH支持自定义路径设置。爬虫结果经解析后自动进入扫描队列。

PART 04第三方集成

• ObserverWard：指纹识别引擎，路径通过OBSERVERWARD_PATH配置
• Nuclei：POC扫描引擎，路径通过NUCLEI_PATH配置
• Crawlergo：无头爬虫，实现页面深度遍历

PART 05数据处理

参数解析模块支持JSON、XML、伪静态等多格式请求体解析。二级参数解析功能可提取GET/POST参数值作为新参数，并自动进行URL解码处理。数据存储基于SQLite3实现。

PART 06AI验证

helper/jscontext.py实现JavaScript敏感信息AI上下文验证功能，智能识别JS中的API密钥、Token、凭证等敏感数据。

重点导读功能特性

PART 07检测能力

• WAF指纹识别与被动嗅探
• 命令执行注入（cmdi系）
• SQL注入（布尔盲注、时间盲注、报错注入、DNS外带）
• 代码执行注入（PHP、Java、ASP）
• SSTI服务器端模板注入
• XXE XML外部实体注入
• 未授权访问检测
• CORS跨域资源共享漏洞
• JSONP敏感信息泄露
• SSRF服务端请求伪造
• 敏感文件泄露（备份文件、源代码、编辑器残留）
• Webpack源码地图泄露
• 反序列化参数分析

PART 08扫描模式

被动扫描：配置代理端口，将浏览器流量转发至Z0SCAN，实现无感知的实时安全检测。

主动扫描：指定目标URL或批量URL文件，支持直接检测与爬虫联动检测两种方式。

爬虫模式：启动Crawlergo无头爬虫，深度遍历目标站点后进行综合漏洞扫描。

PART 09配置项

PART 10推送通知

支持企业微信、钉钉、Server酱渠道的扫描结果推送，配置项位于config.py的NOTICE节点。

重点导读输出示例

被动扫描控制台

主动扫描结果

批量扫描结果

爬虫扫描结果

重点导读工作流程

工作流程图

重点导读安装部署

PART 11源码安装

bashgit clone https://github.com/JiuZero/z0scan
cd z0scan
pip install -r requirements.txt
python3 z0.py help

PART 12Docker部署

bashdocker build -t z0scan .
docker run z0scan

重点导读插件生态

项目内置70余款扫描插件，覆盖Web应用、API、服务配置等多个攻击面。插件采用模块化设计，支持自定义开发与外部扩展。

本文介绍的项目开源地址如下：

https://github.com/JiuZero/z0scan

广告时间

低价考证包括但不限于CISP系列、PMP等等国内网安证书、网络安全交流群请关注公众号后点菜单栏的找棉花糖。

糖心会员站，网络安全必备网站，包括在线内网靶场、web靶场、src靶场、应急响应靶场，以及各种网安资料、教程、方案模版、以及超级多在线工具，99元包年！详细介绍：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站，看完介绍百分百心动！