检查开源软件漏洞的方法有多种，以下是一些常用的技术和工具：
渗透测试
通过编写漏洞的POC（Proof of Concept）脚本，对应用系统进行攻击性验证。如果能够成功利用漏洞，则说明存在安全漏洞。例如，对于Struts等框架，存在大量的POC脚本和工具。
开源安全漏洞扫描工具
使用专业的扫描工具直接对应用系统中的组件包进行扫描，可以快速发现安全漏洞。例如，思客云公司的找八哥系统支持对应用系统中使用的第三方开源软件进行安全漏洞扫描。
SAST（Static Application Security Testing）：通过分析源代码来检测漏洞，包括寻找已知漏洞、软件成分分析和license分析。例如，Socket使用静态分析方法来检查代码的具体风险项，包括寻找新的安装脚本、检测网络请求、识别环境变量的访问等。
SCA（Software Composition Analysis）：扫描软件及其依赖的开源软件，检查版本中包含的已知漏洞，并进行合规检查。例如，Snyk Vulnerability Scanner可以集成到IDEA等研发工作台中，支持对开源组件漏洞扫描。
代码分析工具
SonarQube：一个开源的代码质量管理平台，可以对多种语言的源代码进行静态分析，检测安全漏洞和代码质量问题。
FindBugs/SpotBugs：两个开源的Java静态分析工具，用于检测Java代码中的安全漏洞和错误。
Brakeman：一个开源的Ruby on Rails安全扫描工具，用于发现Ruby on Rails应用程序中的安全漏洞。
动态代码分析
OWASP ZAP：一个流行的Web应用漏洞扫描工具，可以自动发现Web应用程序中的安全漏洞。ZAP可以拦截和检查浏览器和Web程序之间的消息，并根据需要修改内容。
软件测试技术
自动化测试：通过运行软件并观察其行为来检测漏洞。例如，使用自动化测试框架进行集成测试和系统测试，可以发现一些静态和动态代码分析无法检测的漏洞。
集成与自动化
将漏洞检测工具集成到持续集成/持续部署（CI/CD）流水线中，确保在每次部署前都进行漏洞扫描。例如，使用npm audit或Snyk进行漏洞检查，并将结果集成到CI/CD流程中。
建议
选择合适的工具：根据项目需求选择合适的漏洞扫描工具，如SAST工具适合源代码分析，动态扫描工具适合运行时分析。
定期扫描：定期进行漏洞扫描，确保及时修复新发现的漏洞。
持续集成：将漏洞扫描集成到CI/CD流程中，实现自动化检测，提高效率。
更新依赖：及时更新项目依赖的开源软件，以修复已知的安全漏洞。
通过以上方法，可以有效地检查开源软件中的安全漏洞，提高系统的安全性。