web安全测试工具(接口安全测试工具)

我个人比较推荐Acunetix Web Vulnerability Scanner 你可以看看绿盟推荐10款，并有分析。http://www.xdowns.com/article/241/Article_3194.html
Havij-1.15-ProNBSIv3.0WebScan还有穿山甲
盘点流行的Web漏洞扫描工具：第一款：Acunetix WVSAcunetix WVS是一个Web漏洞扫描器自动检查web应用程序。这个工具特别擅长扫描跨站脚本漏洞、SQL注入、弱密码破解等。AcunetixWVS用于测试你的网站，web应用程序是否安全，通过抓取和分析发现可能的SQL注入。通过测试，它可以列举详细报告，并据此加固web应用程序。第二款：AppScanAppScan在整个应用程序开发中提供安全性测试。该工具还可以帮助在开发阶段早期进行安全保证并简化单元测试。该工具可以扫描许多常见漏洞，例如HTTP响应拆分、跨站点脚本、隐藏字段操作、参数篡改、缓冲区溢出、后门/调试选项等等。AppScan用于增强移动应用程序和web应用程序的安全性。它还用于加强法规遵从性和改进应用程序安全程序管理。该工具还将帮助用户识别安全漏洞、生成报告和修复建议。第三款：Burp SuiteBurp Suite是一个平台，其中包含不同类型的工具，它们之间有许多接口，旨在促进和加速攻击应用程序的过程。所有这些工具共享相同的框架来显示和处理HTTP消息、身份验证、持久性、日志记录、警报、代理和可扩展性。该工具主要用于渗透测试web应用程序。它也可以用来读取网络流量，这个应用程序不仅有用且可靠，它还提供了很多功能。第四款：NiktoNikto是一款开源web服务器扫描程序，可对web服务器上的6700多个潜在危险文件和程序进行测试。它还旨在检查超过1250个过时的服务器版本和超过2700个服务器上的特定版本问题。除此之外，它还会检查服务器配置项，例如是否存在多个索引文件、HTTP服务器选项，并且它会尝试识别已安装的软件和web服务器。插件和扫描项目频繁，可以自动更新。第五款：NetsparkerNetsparker是一款综合型的Web应用安全漏洞扫描工具，它分为专业版和免费版，免费版的功能也比较强大。Netsparker与其他综合性的web应用安全扫描工具相比的一个特点是它能够更好地检测SQLInjection和 Cross-site Scripting类型的安全漏洞。

今天小编要跟大家分享的文章是关于对于Web安全问题有哪些常用的测试方法?安全问题一直是我们重点关注的问题，开发的过程中还需要着重注意，该转义的地方转义;该屏蔽的地方屏蔽，该过滤的地方过滤等等。今天小编就来跟大家说一说Web安全问题有哪些常用的测试方法有哪些，让我们一起来看一看吧~ 一、常见的Web安全问题常见的Web安全问题有：SQL注入、跨站点脚本攻击、跨站点伪造请求、目录遍历、邮件表头注入、页面错误信息等。二、手动安全测试对于手动安全测试来说：1、URL有参数的，手动修改参数，看是否得到其他用户的信息和相关页面;2、在登录输入框的地方输入‘or1=1--或“or1=1--等看是否有SQL注入;3、在注重SQL注入的同时，一般在有输入框的地方输入三、自动化安全问题对于自动化安全测试来说：测试组目前使用的安全测试工具为IBM的AppScan(当然，是破解版,34上已经放过该工具的安装包)1、在使用之前务必确认自己绑定的Host;2、配置URL、开发环境、错误显示类型;3、结果保存后可根据提示的问题类型和解决建议进行分析。四、Web安全测试考虑测试点Web安全测试通常要考虑的测试点：1、输入的数据没有进行有效的控制和验证2、用户名和密码3、直接输入需要权限的网页地址可以访问4、认证和会话数据作为GET的一部分来发送5、隐藏域与CGI参数6、上传文件没有限制7、把数据验证寄希望于客户端的验证8、跨站脚本(XSS)9、注入式漏洞(SQL注入)10、不恰当的异常处理11、不安全的存储12、不安全的配置管理13、传输中的密码没有加密14、弱密码，默认密码15、缓冲区溢出16、拒绝服务五、SQL注入SQL注入：所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击.(select*form表Whereid=1or11or1是输入框输入的这样会导致满足id=1或1的数据都查出来而所有的数据都满足1这样就查出来了很多不该被查出来的数据这就是sql注入)以上就是小编今天为大家分享的关于对于Web安全问题有哪些常用的测试方法?的文章，希望本篇文章能够对正在从事Web相关工作的小伙伴们有所帮助。想要了解更多Web相关知识记得关注北大青鸟Web前端培训官网。来源：蜻蜓91Testing

1、Nexpose：跟其他扫描工具不同的是，它的功能十分强大，可以更新漏洞数据库，也可以看出哪些漏洞可以被Metasploit Exploit，可以生成非常详细、强大的Report，涵盖了很多统计功能和漏洞的详细信息。2、OpenVAS：类似Nessus的综合型漏洞扫描器，可以用来识别远程主机、Web应用存在的各种漏洞，它使用NVT脚本对剁成远程系统的安全问题进行检测。3、WebScarab：可以分析使用HTTP和HTTPS协议进行通信的应用程序，它可以简单记录观察的会话且允许操作人员以各种方式进行查看。4、WebInspect：是一款强大的Web应用程序扫描程序，有助于确认Web应用中已知和未知的漏洞，还可以检查一个Web服务器是否正确配置。5、Whisker/libwhisker：是一个Perla工具，适合于HTTP测试，可以针对许多已知的安全漏洞，测试HTTP服务器，特别是检测危险CGI的存在。6、Burpsuite：可以用于攻击Web应用程序的集成平台，允许一个攻击者将人工和自动的技术进行结合，并允许将一种工具发现的漏洞形成另外一种工具的基础。7、Wikto：是一个Web服务器评估工具，可以检查Web服务器中的漏洞，并提供与Nikto一样的很多功能，但增加了许多有趣的功能部分。8、WatchfireAppScan：是一款商业类的Web漏洞扫描程序，简化了部件测试和开发早期的安全保证，可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等等。 9、N-Stealth：是一款商业级的Web服务器安全扫描程序，主要为Windows平台提供扫描，但并不提供源代码。
十大Web漏洞扫描程序,见： http://www.15897.com/blog/post/top-10-vul-scanner.html 介绍

1、NMap 是一个开源且免费的安全扫描工具，可被用于安全审计和网络发现。能够工作在Windows、Linux、HP-UX、Solaris、BSD(包括Mac OS)、以及AmigaOS上。Nmap可用于探测网络中那些可访问的主机，检测它们操作系统的类型和版本，正在提供的服务，以及正在使用的防火墙或数据包过滤器的信息等。由于它既带有GUI界面，又提供命令行，因此许多网络与系统管理员经常将它运用到自己的日常工作中，其中包括：检查开放的端口，维护服务的升级计划，发现网络拓扑，以及监视主机与服务的正常运行时间等方面。2、Wireshark作为业界最好的工具之一，Wireshark可以提供免费且开源的渗透测试服务。通常，您可以把它当作网络协议分析器，以捕获并查看目标系统与网络中的流量。它可以在Linux、Windows、Unix、Solaris、Mac OS、NetBSD、FreeBSD、以及其他操作系统上运行。Wireshark广受教育工作者、安全专家、网络专业人员、以及开发人员的使用和喜爱。那些经由Wireshark还原的信息，可以被其图形用户界面(GUI)或TTY模式的TShark工具来查看。3、Metasploit作为一个安全项目，Metasploit可为用户提供有关安全风险或漏洞等方面的重要信息。该开源的框架可以通过渗透测试服务，让用户获悉各种应用程序、平台和操作系统上的最新漏洞，以及可以被利用的代码。从渗透测试角度来看，Metasploit可以实现对已知漏洞的扫描，侦听，利用，以及证据的收集。它提供可在Linux、Windows以及Apple Mac OS上运行的命令行和图形用户界面。虽然Metasploit是一种商业工具，但它附带有一个开源的有限试用版。4、Netsparker作为一款商业化的安全测试工具，Netsparker是一个精确、自动化且易用的Web应用安全扫描程序。该工具可以被用于自动化地识别Web应用服务中的跨站点脚本(XSS)和SQL注入等安全风险。通过基于证据的扫描技术，它不仅可以生成风险报告，还能够通过概念证明(Proof of Concept)，来确认是否有误报，并能减少手动验证漏洞的时间。5、Acunetix是一款全自动化的Web漏洞扫描程序。它可以智能地检测、识别并报告超过4500种Web应用漏洞，其中包括XSS XXE、SSRF、主机头部注入(Host Header Injection)和SQL注入的所有变体。作为一种商业工具，Acunetix通过其DeepScan Crawler来扫描重AJAX(AJAX-heavy)客户端类型的单页面应用(SPA)和HTML5网站。6、Nessus是针对安全从业人员的漏洞评估解决方案。它能够协助检测和修复各种操作系统、应用程序、乃至设备上的漏洞、恶意软件、配置错误、以及补丁的缺失。通过运行在Windows、Linux、Mac、Solaris上，用户可以用它来进行IP与网站的扫描，合规性检查，敏感数据搜索等测试。7、W3af作为一个免费工具，W3af是一个Web应用攻击和审计框架。它通过搜索、识别和利用200多种已知的Web应用漏洞，来掌控目标网站的总体风险。这些漏洞包括：跨站点脚本(XSS)、SQL注入、未处理的应用错误、可被猜测的密钥凭据、以及PHP错误配置等。W3af不但适用于Mac、Linux和Windows OS，而且提供控制台和图形用户界面。8、Zed Attack Proxy由OWASP开发的免费且开源的安全测试工具。它可以让您在Web应用中发现一系列安全风险与漏洞。由于支持Unix/Linux、Windows和Mac OS，即使您是渗透测试的新手，也能轻松地上手该工具。9、Burpsuite作为一个严控“入侵者”扫描工具，Burpsuite被部分安全测试专家认为：“如果没有它，渗透测试将无法开展。”虽然不是免费，但是Burpsuite提供丰富的功能。通常，人们可以在Mac OS X、Windows和Linux环境中使用它，以实现爬取内容和功能，拦截代理，以及扫描Web应用等测试目的。10、Sqlninja 作为最好的开源渗透测试工具之一，Sqlninja可以利用Microsoft SQL Server作为后端，来检测Web应用上的SQL注入威胁和漏洞。该自动化测试工具提供命令行界面，可以在Linux和Apple Mac OS X上被使用。Sqlninja具有包括：对远程命令进行计数，DB指纹识别，及其检测引擎等描述性功能。
安装个360安全卫士。它是可以进行全面的安全防护的，包括网络

一、NMap 是一个开源且免费的安全扫描工具，可以被用于安全审计和网络发现，能被使用于Windows、Linux、Mac OS等，可用于探测网络中可访问的主机，检测它们的类型和版本、正在提供的服务以及正在使用的防火墙或数据包过滤器的信息等。二、Wireshark提供免费且开源的渗透测试服务，可以把它当做网络协议分析器，能被适用于Linux、Windows、Unix、Mac OS以及其他常见的操作系统中。三、Metasploit可为用户提供有关安全风险和漏洞等方面的重要信息，让用户了解各种应用程序、平台和操作系统上的最新漏洞，以及可以被利用的代码，它可在Linux、Windows、AppleMac OS上运行命令行和图形用户界面。四、Netsparker是一款精确、自动化且易用的Web应用安全扫描工具，可以被用于自动化识别Web应用服务中的跨站点脚本，即XSS，和SQL注入等安全风险爱你，不仅可以生成风险报告，还可以通过概念证明来确认是否有误报，且能减少手动验证漏洞的时间。五、Acunetix是一款全自动化的Web漏洞扫描程序，可以智能检测、识别并报告Web应用漏洞，用户可以利用它将检测到的漏洞导出到问题跟踪器中。六、Nessus 是针对安全从业人员的漏洞评估解决方案，能够协助检测和修复各种操作系统、应用程序、乃至设备上的漏洞、恶意软件、配置错误、以及补丁的缺失，运行于Windows、Linux、Mac上，用户可以用它来进行IP与网站的扫描，合规性检查，敏感数据搜索等测试。
金山网镖，360，都可以，还有一些端口监视器等
你应该说具体一点 如果仅仅是为了自己的系统更安全，定期更新补丁，适时查杀病毒就足够了。