腾讯的漏洞扫描服务不需要验证目标网站权限的？

This topic created in 1542 days ago, the information mentioned may be changed or developed.

从来没有使用过腾讯的漏洞扫描服务，最近网站收到很多腾讯的漏洞扫描服务来扫描网站还会模拟下载安装包。
产品说明： https://main.qcloudimg.com/raw/document/product/pdf/692_16840_cn.pdf
这些 IP 都是腾讯的漏洞扫描服务
129.211.162.110
129.211.162.87
129.211.163.253
129.211.164.19
129.211.166.123
129.211.167.182
129.211.167.200
129.211.167.70
129.211.162.158
129.211.162.23
129.211.166.134
129.211.167.108
129.211.167.181
129.211.166.142
129.211.166.163
129.211.167.128
129.211.167.166

扫描

漏洞

腾讯

129.211.162.87

4 replies 2022-02-26 08:38:41 +08:00

holinhot

Feb 26, 2022

还是说是腾讯在自主扫描？而不是有人添加了我们网站到腾讯的漏洞扫描服务里

naver1

Feb 26, 2022

直接去腾讯提工单。

Xhack

Feb 26, 2022

提工单问，比在这问权威且快吧

YaakovZiv

Feb 26, 2022

腾讯漏扫 IP 是固定的（ https://cloud.tencent.com/document/product/692/38483 ），加到防火墙拦截可以阻止扫描。
添加资产就能扫描，添加时会验证账号是否实名认证，但实名认证可以借用别人身份，访问者也可以挂一层保护 IP 去访问腾讯的 web 界面，综上，可能查不到是谁发起访问。
以前是有要求资产所有者要在加个授权界面或者网页加授权信息，才会正式扫描的，查不到对应授权信息，加了资产也启动不了扫描，现在不清楚。