免費弱點掃描工具推薦｜2025 年 5 款實測評比與安裝教學

引言：沒預算，也能開始做資安

「資安很重要，但我們沒預算買工具。」

這句話我們聽過無數次。

好消息是：開始做弱點掃描，不一定要花錢。

開源社群提供了許多強大的免費工具。這些工具被資安專家、滲透測試人員廣泛使用，甚至有些商業產品就是基於它們開發的。

這篇文章整理了 5 款最值得使用的免費弱點掃描工具，包含：

• 實測心得
• 適用場景
• 安裝難度
• 真實限制

看完這篇，你就能零成本開始建立基礎的資安檢測能力。

如果你還不清楚什麼是弱點掃描，建議先閱讀 弱點掃描是什麼？完整指南。

---

5 款免費工具快速總覽

工具名稱	掃描類型	安裝難度	適合對象
OpenVAS	網路/主機	★★★★☆	有 Linux 經驗的團隊
OWASP ZAP	Web 應用	★★☆☆☆	開發團隊、QA
Nikto	Web 伺服器	★☆☆☆☆	快速檢測需求
Nmap + NSE	網路	★★☆☆☆	進階使用者
Microsoft Defender	端點	★☆☆☆☆	Windows 環境

一句話選擇指南：

• 要掃伺服器和網路 → OpenVAS
• 要掃網站 → OWASP ZAP
• 要快速檢查 Web Server → Nikto
• 要做網路偵察 → Nmap
• Windows 電腦要掃毒 → Microsoft Defender

---

1. OpenVAS：最完整的開源弱點掃描器

工具簡介

OpenVAS（Open Vulnerability Assessment Scanner）是開源界最強大的弱點掃描器，沒有之一。

它的前身是 Nessus 開源版。現在由 Greenbone 公司維護，核心引擎完全免費。功能足以對標數萬美元的商業產品。

掃描能力

OpenVAS 可以掃描：

• 網路設備（路由器、交換器、防火牆）
• 伺服器（Windows、Linux）
• 資料庫（MySQL、PostgreSQL、Oracle）
• 虛擬化平台（VMware、Hyper-V）

漏洞資料庫超過 15 萬筆，每天更新。

安裝方式

最簡單的方式：使用 Docker

# 拉取映像
docker pull greenbone/openvas-scanner

# 或使用完整的 Greenbone Community Edition
docker-compose -f docker-compose.yml up -d

傳統安裝（Kali Linux）：

sudo apt update
sudo apt install openvas
sudo gvm-setup
sudo gvm-start

安裝過程約需 30-60 分鐘，主要時間花在下載漏洞資料庫。

實測心得

優點：

• 功能真的很完整，不輸 Nessus
• 報告格式專業，可匯出 PDF
• 可以設定排程自動掃描
• 支援憑證掃描（登入系統後掃描）

缺點：

• 安裝設定需要 Linux 經驗
• 掃描速度比商業工具慢
• Web 介面反應有時較慢
• 遇到問題只能靠社群

適合誰？

• 有 Linux 管理經驗的 IT 團隊
• 願意花時間學習的資安新手
• 預算有限但有技術力的公司
• 教育機構、非營利組織

2. OWASP ZAP：Web 應用掃描首選

工具簡介

OWASP ZAP（Zed Attack Proxy）是 OWASP 基金會維護的 Web 應用安全掃描器。

它是全球最多人使用的免費 Web 掃描工具，在 GitHub 上有超過 12,000 顆星。Google、Mozilla 等大公司的資安團隊都在用。

掃描能力

ZAP 專門針對 Web 應用，可以檢測：

• SQL Injection
• Cross-Site Scripting（XSS）
• CSRF
• 敏感資訊洩露
• 不安全的 HTTP Headers
• OWASP Top 10 大部分漏洞

安裝方式

下載安裝：

直接到 OWASP ZAP 官網 下載對應作業系統的安裝檔。

支援 Windows、macOS、Linux，安裝過程就像一般軟體一樣簡單。

Docker 方式：

docker pull zaproxy/zap-stable
docker run -u zap -p 8080:8080 zaproxy/zap-stable zap.sh -daemon -port 8080

實測心得

優點：

• 安裝超簡單，10 分鐘上手
• GUI 介面直覺好用
• 可整合 CI/CD（Jenkins、GitLab CI）
• 社群活躍，文件完整
• 持續更新，跟得上新漏洞

缺點：

• 只能掃 Web，不能掃網路設備
• 深度掃描時可能影響網站效能
• 複雜的 JavaScript 應用可能爬不完整
• 誤報率比商業工具高一些

適合誰？

• Web 開發團隊（整合進開發流程）
• QA 人員（上線前安全檢查）
• 資安初學者（入門學習）
• 有網站但沒資安預算的小公司

更多 Web 掃描實務，可參考 網站弱點掃描實務指南。

掃完之後如何解讀報告？可參考 弱點掃描報告解讀指南。

---

3. Nikto：快速輕量的 Web 伺服器掃描

工具簡介

Nikto 是一款經典的 Web 伺服器掃描工具，已經有 20 年歷史。

它不是掃描 Web 應用程式的邏輯漏洞，而是專門檢查 Web 伺服器的設定問題和已知弱點。

掃描能力

Nikto 可以檢測：

• 過時的伺服器軟體版本
• 危險的預設檔案（如 /admin、/phpinfo.php）
• 不安全的 HTTP 方法（PUT、DELETE）
• SSL/TLS 設定問題
• 常見的錯誤設定

資料庫包含 6,700+ 種已知弱點。

安裝方式

Kali Linux（已內建）：

nikto -h https://example.com

其他 Linux：

sudo apt install nikto

macOS：

brew install nikto

實測心得

優點：

• 超輕量，安裝秒完成
• 掃描速度快，幾分鐘搞定
• 命令列操作，適合自動化
• 穩定可靠，不太會當掉

缺點：

• 只能掃伺服器層，不能測應用邏輯
• 沒有 GUI，新手可能不習慣
• 報告格式較陽春
• 不會爬整個網站，只測已知路徑

適合誰？

• 需要快速檢查伺服器設定
• 做滲透測試的前期偵察
• 自動化腳本整合
• 確認 SSL 憑證設定

常用指令

# 基本掃描
nikto -h https://example.com

# 掃描特定連接埠
nikto -h example.com -p 8080

# 輸出 HTML 報告
nikto -h https://example.com -o report.html -Format htm

# 使用 SSL
nikto -h https://example.com -ssl

---

4. Nmap + NSE：網路偵察瑞士刀

工具簡介

Nmap（Network Mapper）是最強大的網路掃描工具。

配合 NSE（Nmap Scripting Engine）腳本，它也能做弱點掃描。雖然不是專門的弱點掃描器，但在網路層面的檢測能力非常強。

掃描能力

Nmap + NSE 可以：

• 發現網路中的設備和服務
• 辨識作業系統和軟體版本
• 檢測常見漏洞（透過 vuln 腳本）
• 測試 SSL/TLS 安全性
• 暴力破解弱密碼

安裝方式

幾乎所有作業系統都支援：

# Ubuntu/Debian
sudo apt install nmap

# macOS
brew install nmap

# Windows
# 下載安裝檔：https://nmap.org/download.html

常用弱點掃描指令

# 掃描常見漏洞
nmap --script vuln target.com

# 掃描特定漏洞（如 SMB）
nmap --script smb-vuln* -p 445 target.com

# SSL/TLS 安全檢測
nmap --script ssl-enum-ciphers -p 443 target.com

# 綜合掃描（服務版本 + 漏洞）
nmap -sV --script vuln target.com

實測心得

優點：

• 網路偵察功能無敵強
• 腳本擴充彈性大
• 文件和教學超多
• 資安從業人員必學

缺點：

• 學習曲線陡峭
• 需要了解網路原理才能用好
• 弱點掃描不如專門工具全面
• 誤用可能觸法（掃別人的網路）

適合誰？

• 資安專業人員
• 網路管理員
• 想深入學習資安的人
• 做滲透測試前期偵察

5. Microsoft Defender：Windows 內建的端點防護

工具簡介

Microsoft Defender（前稱 Windows Defender）是 Windows 10/11 內建的資安防護工具。

它不是傳統定義的「弱點掃描器」，但它可以：

• 掃描惡意軟體和病毒
• 檢測可疑行為
• 評估系統安全狀態

對 Windows 環境來說，這是最方便的免費選擇。

掃描能力

Defender 可以檢測：

• 病毒、木馬、蠕蟲
• 勒索軟體
• 可疑的系統變更
• 網路攻擊（釣魚、惡意網站）
• 應用程式漏洞（透過 Microsoft Defender 漏洞管理）

使用方式

Windows 11/10 已內建，直接使用：

1. 開啟「Windows 安全性」
2. 點選「病毒與威脅防護」
3. 執行「快速掃描」或「完整掃描」

進階功能（Defender for Endpoint）：

企業版提供更完整的弱點管理功能，但需要 Microsoft 365 E5 授權。

實測心得

優點：

• 內建免費，不用安裝
• 對 Windows 整合度最高
• 持續更新，跟得上新威脅
• 資源佔用比第三方防毒低

缺點：

• 只保護 Windows 端點
• 不能掃描網路設備或伺服器
• 進階功能需要付費授權
• 不是傳統的弱點掃描報告格式

適合誰？

• Windows 工作站安全
• 個人電腦防護
• 預算為零的小公司
• 搭配其他工具使用

---

免費工具的限制：誠實面對

免費工具很棒，但不是沒有代價。

常見限制

1. 沒有官方技術支援

遇到問題只能自己 Google 或問社群。如果是生產環境出問題，可能要花很多時間除錯。

2. 更新速度較慢

新漏洞出來後，商業工具可能 24 小時內更新，開源工具可能要 3-7 天。對於 0-day 漏洞，這個時間差可能是致命的。

3. 報告格式不如商業工具專業

要給主管或稽核看的報告，可能需要額外加工。商業工具通常有一鍵產出精美報告的功能。

4. 誤報率較高

免費工具的誤報篩選機制通常沒那麼好，需要人工判斷哪些是真的漏洞。

5. 學習成本

省下工具費用，但花費的是時間成本。企業要評估這個取捨是否划算。

免費工具不夠用？ 企業環境通常需要更完整的掃描。預約諮詢，評估適合你的方案。

---

工具組合建議

單一工具很難覆蓋所有需求。以下是幾個實用的免費工具組合：

組合一：全方位基礎防護

OpenVAS（網路/主機）+ OWASP ZAP（Web）+ Defender（端點）

適合：有技術能力的中小企業

組合二：Web 開發團隊

OWASP ZAP（開發階段）+ Nikto（部署後）

適合：網站開發公司

組合三：快速入門

OWASP ZAP + Microsoft Defender

適合：資安新手、個人學習

進階組合：搭配商業工具

如果預算允許，可以：

• 用 Nessus 做主要掃描
• 用 OpenVAS 做補充驗證
• 用 OWASP ZAP 整合進 CI/CD

需要更強功能可考慮 付費工具比較。

不確定該選弱點掃描還是滲透測試？可參考 弱點掃描 vs 滲透測試 了解差異。

---

從免費到專業的升級路徑

很多企業從免費工具起步，隨著規模成長再升級。

升級時機

該考慮付費工具的信號：

• 設備數量超過 50 台，掃描效率成問題
• 有合規需求，需要正式報告
• 沒有人力維護開源工具
• 需要原廠技術支援
• 遇到的漏洞越來越複雜

升級選項

現況	升級方向
用 OpenVAS	升級到 Nessus Professional
用 OWASP ZAP	升級到 Acunetix 或 Burp Suite
自己掃描	委外給專業資安服務商

---

結論：零成本也能開始做資安

三個重點帶走：

1. 免費工具功能夠用：OpenVAS 和 OWASP ZAP 的能力不輸入門商業產品
2. 省錢但花時間：需要投入學習和維護成本，評估這個取捨
3. 從小開始，逐步擴展：先用免費工具建立基礎，有需求再升級

資安不是有錢人的專利。

只要願意花時間學習，免費工具就能幫你建立基本的防護能力。比起「因為沒預算所以什麼都不做」，用免費工具開始行動，永遠是更好的選擇。

常見問題 FAQ

Q1: OpenVAS 和 Nessus Free 都是免費的，該選哪個？

看你的使用情境。Nessus Essentials 免費版限制只能掃 16 個 IP，適合個人實驗或極小公司（家用網路、自架 homelab）。OpenVAS（現已改名為 Greenbone Community Edition）沒有 IP 限制，可以掃整個辦公網路，適合中小企業。功能比較：(1) Nessus 勝出——漏洞資料庫更新快（付費版更新頻率是 OpenVAS 的 3–5 倍）、UI 更友善、報告更漂亮；(2) OpenVAS 勝出——無 IP 限制、完全開源（可客製化）、支援分散式掃描。實務建議：家用 / 個人學習選 Nessus Essentials；公司內網掃描選 OpenVAS；若公司預算足夠（> NT$100,000/年）直接升級 Nessus Professional（NT$100,000/年，無限 IP）。

Q2: 用 OWASP ZAP 掃自己的網站合法嗎？需要申請什麼？

掃自己公司的網站完全合法，但注意三件事：(1) 雲端服務商的條款——AWS、GCP、Azure 等對「penetration testing / security scanning」有政策。AWS 已於 2019 年放寬，一般客戶可以直接掃自家資源無需申請；GCP 也是類似；Azure 需要填寫 notification form 但自動核准。(2) 共用資源風險——如果你用 shared hosting（虛擬主機），你的掃描行為可能影響同伺服器其他客戶，可能被中止服務。這種情況要先通知供應商。(3) CDN / WAF 誤判——ZAP 的流量特徵會被 Cloudflare 等 WAF 視為攻擊，觸發 Challenge 或 Block。可以將你掃描器的 IP 加入 WAF 白名單，或暫時停用 WAF。絕對不能做的：掃描不屬於你的網站、掃描你客戶的網站（要書面授權）、掃描政府 / 金融網站（刑事責任）。

Q3: 免費工具的誤判率真的很高嗎？看到一堆 alerts 該怎麼處理？

誤判率偏高是事實。OWASP ZAP 的 default scan 可能產出 50–200 個 alerts，其中 60–80% 是 False Positive（誤判）或 Informational（無風險資訊）。處理流程：(1) 依嚴重度分類——只看 High 和 Critical，先不管 Medium 以下；(2) 驗證 POC——每個 High/Critical alert 手動用 curl 或 Burp Suite 重現，確認是不是真漏洞；(3) 檢查 context——很多 alert 是「理論上的漏洞」，但因為你有其他防禦（WAF、CSP header、rate limit）實際上無法利用；(4) 修復或壓下——真漏洞修復、誤判加入 exclusion rules、Informational 記錄但不追蹤。實務經驗：初次掃描 100 個 High alerts，驗證後可能只有 5–10 個是真漏洞。別被報告嚇到，慢慢驗證才是正確做法。

Q4: 公司沒預算買正版漏洞掃描工具，老闆要我自己用免費工具做，我該接受嗎？

可以接受，但必須事前說明條件。三個條件要跟老闆講清楚：(1) 時間成本——免費工具學習曲線長，OpenVAS 安裝和調校可能花 1–2 週，第一次完整掃描 + 分析報告需要 40–80 小時。如果老闆期待「一個下午完成」那是不切實際；(2) 品質限制——免費工具的覆蓋率、誤判率、報告品質都不如商業工具，可能漏掉關鍵漏洞；(3) 合規限制——如果公司需要通過 ISO 27001、PCI-DSS、金管會資安規範等，稽核員通常要求「商業漏洞掃描工具 + 第三方獨立報告」。給老闆的建議話術：「我可以用免費工具先建立基礎掃描流程，大概 3 個月後會有初步成果。但如果我們將來要接金融 / 政府標案或做 IPO，仍需要投資商業工具或請第三方做滲透測試。」讓決策權回到老闆手上。

Q5: 我只是小型電商網站，用 OWASP ZAP 掃過就夠了嗎？需要做到什麼程度？

OWASP ZAP 是好的起點但不夠。小型電商建議組合：(1) 每月自動掃描——OWASP ZAP Baseline Scan 加 CI/CD 流水線，發現基礎問題（XSS、SQL Injection、HTTPS 設定錯誤等）；(2) 每季深度掃描——OWASP ZAP Full Scan + OpenVAS 掃伺服器，涵蓋應用層和主機層；(3) 年度第三方滲透測試——請資安顧問公司做一次完整 pen test（NT$80,000–200,000），補上自動化掃描找不到的業務邏輯漏洞（如優惠券可被重複使用、庫存邏輯被操縱等）；(4) 修補流程——High/Critical 7 天內修、Medium 30 天、Low 90 天。何時需要升級：(A) 日營收 > NT$50 萬——值得投資 Nessus Professional（NT$100,000/年）；(B) 處理信用卡 / 個資——PCI-DSS 合規要求商業工具；(C) 有海外客戶——GDPR 合規要求定期漏洞掃描。最大的錯誤是「有做掃描但從不修補」——掃了卻沒修，比沒掃還危險，因為報告就是給攻擊者的 roadmap。

---

需要更完整的資安方案？

免費工具是好的起點，但企業成長後通常需要：

• 更完整的掃描覆蓋
• 專業的報告給管理層和稽核
• 有人幫你解讀結果和規劃修補

預約免費資安評估，我們幫你：

1. 評估目前用的工具是否足夠
2. 建議適合的升級路徑
3. 規劃符合預算的資安方案

從免費工具畢業，不代表要花大錢。讓我們幫你找到最划算的選擇。

想找專業廠商代做弱點掃描？可參考 弱點掃描服務廠商評比。

---

參考資料

1. Greenbone，《OpenVAS Documentation》（2024）
2. OWASP，《ZAP User Guide》（2024）
3. Nmap，《Nmap Reference Guide》（2024）
4. Microsoft，《Microsoft Defender for Endpoint》（2024）
5. CIRT.net，《Nikto2 Documentation》（2024）
6. GitHub，《OWASP ZAP Repository》（2024）