网站安全测试工具(web安全测试工具)

扫描网站漏洞是要用专业的扫描工具，下面就是介绍几种工具 1. Nikto这是一个开源的Web服务器扫描程序，它可以对Web服务器的多种项目进行全面的测试。其扫描项目和插件经常更新并且可以自动更新。Nikto可以在尽可能短的周期内测试你的Web服务器，这在其日志文件中相当明显。不过，如果你想试验一下，它也可以支持 LibWhisker的反IDS方法。不过，并非每一次检查都可以找出一个安全问题，虽然多数情况下是这样的。有一些项目是仅提供信息类型的检查，这种检查可以查找一些并不存在安全漏洞的项目，不过Web管理员或安全工程师们并不知道。2. Paros proxy这是一个对Web应用程序的漏洞进行评估的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看 HTTP/HTTPS,从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序，hash 计算器，还有一个可以测试常见的Web应用程序攻击的扫描器。3. WebScarab:它可以分析使用HTTP和HTTPS协议进行通信的应用程序，WebScarab可以用最简单地形式记录它观察的会话，并允许操作人员以各种方式观查会话。如果你需要观察一个基于HTTP(S)应用程序的运行状态，那么WebScarabi就可以满足你这种需要。不管是帮助开发人员调试其它方面的难题，还是允许安全专业人员识别漏洞，它都是一款不错的工具。4. WebInspect：这是一款强大的Web应用程序扫描程序。SPI Dynamics的这款应用程序安全评估工具有助于确认Web应用中已知的和未知的漏洞。它还可以检查一个Web服务器是否正确配置，并会尝试一些常见的 Web攻击，如参数注入、跨站脚本、目录遍历攻击等等。5. Whisker/libwhisker :Libwhisker是一个Perla模块，适合于HTTP测试。它可以针对许多已知的安全漏洞，测试HTTP服务器，特别是检测危险CGI的存在。 Whisker是一个使用libwhisker的扫描程序。6. Burpsuite：这是一个可以用于攻击Web应用程序的集成平台。Burp套件允许一个攻击者将人工的和自动的技术结合起来，以列举、分析、攻击Web应用程序，或利用这些程序的漏洞。各种各样的burp工具协同工作，共享信息，并允许将一种工具发现的漏洞形成另外一种工具的基础。7. Wikto:可以说这是一个Web服务器评估工具，它可以检查Web服务器中的漏洞，并提供与Nikto一样的很多功能，但增加了许多有趣的功能部分，如后端 miner和紧密的Google集成。它为MS.NET环境编写，但用户需要注册才能下载其二进制文件和源代码。8. Acunetix Web Vulnerability Scanner :这是一款商业级的Web漏洞扫描程序，它可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。它拥有一个操作方便的图形用户界面，并且能够创建专业级的Web站点安全审核报告。9. Watchfire AppScan：这也是一款商业类的Web漏洞扫描程序。AppScan在应用程序的整个开发周期都提供安全测试，从而测试简化了部件测试和开发早期的安全保证。它可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等等。10. N-Stealth： N-Stealth是一款商业级的Web服务器安全扫描程序。它比一些免费的Web扫描程序，如Whisker/libwhisker、 Nikto等的升级频率更高。还要注意，实际上所有通用的VA工具，如Nessus, ISS Internet Scanner, Retina, SAINT, Sara等都包含Web 扫描部件。N-Stealth主要为Windows平台提供扫描，但并不提供源代码。
进行安全检测以及修复漏洞是必须要做的事，那该如何进行网站检测？ 1、在搜索引擎里边找到很多网站安全检测的平台，很多从事安全方面的公司都有推出这样的安全检测供大家使用。直接在搜索引擎搜索“网站安全监测”。2、具体要使用哪一个的还得看开发人员自己的选择，我其它平台也使用检测，主要还是使用有注册用户名使用的。3、进入检测的网站，登陆会员名，在输入框里边输入自己的网址，按检测即可进行。检测之后可以看到出现的问题以及打的分数。4、当然是越安全打的分数越高，100分满了。同时也会显示出发现的漏洞以及历史漏洞。5、提供历史漏洞的网站也挺厉害的，有的网站也曾经被检测出漏洞，确实都是存在漏洞什么的，及时发现处理就好。6、如果发现有漏洞必须要通过验证网站的权限才让您看的，所以当发现有存在漏洞的时候，及时处理为好。7、一个网站的安全可以显示出一个公司的技术水平以及处理问题的能力，访问者查看的公司网站都存在问题，又怎么可以能有好感呢？所以定期对网站做安全检测以及及时修复是很重要，也是相当有必要的事情。 8、当然了，除了网站漏洞需要及时核查处理修理补上，服务器上的安全同样是需要做好，双重保险，客户访问就会浏览率增加！网站效果就会日益见好！
可以试试看DMSCA   百度一下DMSCA网页链接

PHP的安全性现在是越来越好了PHP6。0版本都把存在的SQL漏洞都解决了 但是为了安全起见还是应该做安全检测 检测方法：SQL 注入法 、脚本代码、参数传递等方法 具体情况参看PHP官方网站 安全篇章
如果要提升网站的安全性，推荐使用思客云开发的找八哥软件源代码安全测试系统，对网站源代码进行全面的白盒测试再上线，以免出现其他漏洞从而遭受攻击。找八哥软件源代码安全测试系统支持安全漏洞，性能缺陷，编码规范等9大类1000多类小问题的综合性分析。可全面的源代码进行详细的检测，解决网站安全隐患。
http://bbs.et8.net/bbs/printthread.php?t=890692&pp=100 可以解决的

试试安全软件扫描 打开腾讯电脑管家——工具箱——漏洞修复 可以自动修复漏洞：第一时间发现并修复系统存在的高危漏洞，在不打扰您的情况下自动为系统打上漏洞补丁，轻轻松松将病毒木马拒之门外。自动修复漏洞电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。
Nikto是基于PERL开发的程序，所以需要PERL环境。Nikto支持Windows（使用ActiveState Perl环境）、Mac OSX、多种Linux 或Unix系统。Nikto使用SSL需要Net::SSLeay PERL模式，则必须在Unix平台上安装OpenSSL。从官方网站上下载nikto-current.tar.gz文件，在Linux系统解压操作：tar -xvf nikto-current.tar.gzgzip -d nikto-current.tar解压后的结果如下所示：Config.txt、docs、kbase、nikto.pl、plugins、 templatesNikto的使用说明：Nikto扫描需要主机目标IP、主机端口。默认扫描的是80端口。扫描主机目标IP地址可以使用选项-h(host)。下面将扫描IP为192.168.0.1的TCP 80端口，如下所示：perl nkito.pl –h 192.168.0.1也可以自定义扫描的端口，可以使用选项-p(port)，下面将扫描IP为192.168.0.1的TCP 443端口，如下所示：perl nikto.pl –h 192.168.0.1 –p 443Nikto也可以同时扫描多个端口，使用选项-p(port)，可以扫描一段范围（比如：80-90），也可以扫描多个端口（比如：80,88,90）。下面扫描主机的80/88/443端口，如下所示：Perl nikto.pl –h 192.168.0.1 –p 80,88,443如果运行Nikto的主机是通过HTTP proxy来访问互联网的，也可以使用代理来扫描，使用选项-u(useproxy)。下面将通过HTTP proxy来扫描，如下所示：Perl nikto.ph –h 192.168.0.1 –p 80 –uNikto的更新：Nikto的升级可以通过-update的命令来更新插件和数据库，如下所示：Perl nikto.ph –update也可以通过从网站下载来更新插件和数据库：http://updates.cirt.net/Nikto的选项说明：-Cgidirs扫描CGI目录。-config使用指定的config文件来替代安装在本地的config.txt文件-dbcheck选择语法错误的扫描数据库。-evasion使用LibWhisker中对IDS的躲避技术，可使用以下几种类型：1．随机URL编码（非UTF-8方式）2．自选择路径（/./）3．虚假的请求结束4．长的URL请求5．参数隐藏6．使用TAB作为命令的分隔符7．大小写敏感8．使用Windows路径分隔符替换/9．会话重组-findonly仅用来发现HTTP和HTTPS端口，而不执行检测规则-Format指定检测报告输出文件的格式，默认是txt文件格式（csv/txt/htm）-host目标主机，主机名、IP地址、主机列表文件。-idID和密码对于授权的HTTP认证。格式：id:password-mutate变化猜测技术1.使用所有的root目录测试所有文件2.猜测密码文件名字3.列举Apache的用户名字(/~user)4.列举cgiwrap的用户名字(/cgi-bin/cgiwrap/~user)-nolookup不执行主机名查找-output报告输出指定地点-port扫描端口指定，默认为80端口。-Pause每次操作之间的延迟时间- Display控制Nikto输出的显示1.直接显示信息2.显示的cookies信息3.显示所有200/OK的反应4.显示认证请求的URLs5.Debug输出-ssl强制在端口上使用SSL模式-Single执行单个对目标服务的请求操作。-timeout每个请求的超时时间，默认为10秒-TuningTuning 选项控制Nikto使用不同的方式来扫描目标。0．文件上传1.日志文件2.默认的文件3.信息泄漏4.注射（XSS/Script/HTML）5.远程文件检索（Web 目录中）6.拒绝服务7.远程文件检索（服务器）8.代码执行－远程shell9.SQL注入a.认证绕过b.软件关联g.属性（不要依懒banner的信息）x.反向连接选项-useproxy使用指定代理扫描-update更新插件和数据库

1、NMap 是一个开源且免费的安全扫描工具，可被用于安全审计和网络发现。能够工作在Windows、Linux、HP-UX、Solaris、BSD(包括Mac OS)、以及AmigaOS上。Nmap可用于探测网络中那些可访问的主机，检测它们操作系统的类型和版本，正在提供的服务，以及正在使用的防火墙或数据包过滤器的信息等。由于它既带有GUI界面，又提供命令行，因此许多网络与系统管理员经常将它运用到自己的日常工作中，其中包括：检查开放的端口，维护服务的升级计划，发现网络拓扑，以及监视主机与服务的正常运行时间等方面。2、Wireshark作为业界最好的工具之一，Wireshark可以提供免费且开源的渗透测试服务。通常，您可以把它当作网络协议分析器，以捕获并查看目标系统与网络中的流量。它可以在Linux、Windows、Unix、Solaris、Mac OS、NetBSD、FreeBSD、以及其他操作系统上运行。Wireshark广受教育工作者、安全专家、网络专业人员、以及开发人员的使用和喜爱。那些经由Wireshark还原的信息，可以被其图形用户界面(GUI)或TTY模式的TShark工具来查看。3、Metasploit作为一个安全项目，Metasploit可为用户提供有关安全风险或漏洞等方面的重要信息。该开源的框架可以通过渗透测试服务，让用户获悉各种应用程序、平台和操作系统上的最新漏洞，以及可以被利用的代码。从渗透测试角度来看，Metasploit可以实现对已知漏洞的扫描，侦听，利用，以及证据的收集。它提供可在Linux、Windows以及Apple Mac OS上运行的命令行和图形用户界面。虽然Metasploit是一种商业工具，但它附带有一个开源的有限试用版。4、Netsparker作为一款商业化的安全测试工具，Netsparker是一个精确、自动化且易用的Web应用安全扫描程序。该工具可以被用于自动化地识别Web应用服务中的跨站点脚本(XSS)和SQL注入等安全风险。通过基于证据的扫描技术，它不仅可以生成风险报告，还能够通过概念证明(Proof of Concept)，来确认是否有误报，并能减少手动验证漏洞的时间。5、Acunetix是一款全自动化的Web漏洞扫描程序。它可以智能地检测、识别并报告超过4500种Web应用漏洞，其中包括XSS XXE、SSRF、主机头部注入(Host Header Injection)和SQL注入的所有变体。作为一种商业工具，Acunetix通过其DeepScan Crawler来扫描重AJAX(AJAX-heavy)客户端类型的单页面应用(SPA)和HTML5网站。6、Nessus是针对安全从业人员的漏洞评估解决方案。它能够协助检测和修复各种操作系统、应用程序、乃至设备上的漏洞、恶意软件、配置错误、以及补丁的缺失。通过运行在Windows、Linux、Mac、Solaris上，用户可以用它来进行IP与网站的扫描，合规性检查，敏感数据搜索等测试。7、W3af作为一个免费工具，W3af是一个Web应用攻击和审计框架。它通过搜索、识别和利用200多种已知的Web应用漏洞，来掌控目标网站的总体风险。这些漏洞包括：跨站点脚本(XSS)、SQL注入、未处理的应用错误、可被猜测的密钥凭据、以及PHP错误配置等。W3af不但适用于Mac、Linux和Windows OS，而且提供控制台和图形用户界面。8、Zed Attack Proxy由OWASP开发的免费且开源的安全测试工具。它可以让您在Web应用中发现一系列安全风险与漏洞。由于支持Unix/Linux、Windows和Mac OS，即使您是渗透测试的新手，也能轻松地上手该工具。9、Burpsuite作为一个严控“入侵者”扫描工具，Burpsuite被部分安全测试专家认为：“如果没有它，渗透测试将无法开展。”虽然不是免费，但是Burpsuite提供丰富的功能。通常，人们可以在Mac OS X、Windows和Linux环境中使用它，以实现爬取内容和功能，拦截代理，以及扫描Web应用等测试目的。10、Sqlninja 作为最好的开源渗透测试工具之一，Sqlninja可以利用Microsoft SQL Server作为后端，来检测Web应用上的SQL注入威胁和漏洞。该自动化测试工具提供命令行界面，可以在Linux和Apple Mac OS X上被使用。Sqlninja具有包括：对远程命令进行计数，DB指纹识别，及其检测引擎等描述性功能。

Acunetix WVS全称Acunetix Web Vulnerability Scanner，他是一个网站及服务器漏洞扫描软件。拥有一个操作方便的图形用户界面，并且能够创建专业级的Web站点安全审核报告，可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。 本次提供的Acunetix WVS 10版本可以扫描的漏洞比较多，功能比较全，重新设计的基于Web的用户界面，让用户使用和管理更加容易，从而更高效地工作并降低成本。功能特点：1、自动的客户端脚本分析器，允许对 Ajax 和 Web 2.0 应用程序进行安全性测试。2、业内最先进且深入的 SQL 注入和跨站脚本测试3、高级渗透测试工具，例如 HTTP Editor 和 HTTP Fuzzer4、可视化宏记录器帮助您轻松测试 web 表格和受密码保护的区域5、支持含有 CAPTHCA 的页面，单个开始指令和 Two Factor（双因素）验证机制6、丰富的报告功能，包括 VISA PCI 依从性报告7、高速的多线程扫描器轻松检索成千上万个页面8、智能爬行程序检测 web 服务器类型和应用程序语言9、Acunetix 检索并分析网站，包括 flash 内容、SOAP 和 AJAX 10、端口扫描 web 服务器并对在服务器上运行的网络服务执行安全检查