web安全测试工具(软件安全测试工具有哪些)

今天小编要跟大家分享的文章是关于开源Web应用的安全测试工具汇总。Web应用安全测试可对Web应用程序执行功能测试，找到尽可能多的安全问题，大大降低黑客入侵几率。 在研究并推荐一些最佳的开源Web应用安全测试工具之前，让我们首先了解一下安全测试的定义、功用和价值。一、安全测试的定义安全测试可以提高信息系统中的数据安全性，防止未经批准的用户访问。在Web应用安全范畴中，成功的安全测试可以保护Web应用程序免受严重的恶意软件和其他恶意威胁的侵害，这些恶意软件和恶意威胁可能导致Web应用程序崩溃或产生意外行为。安全测试有助于在初始阶段解决Web应用程序的各种漏洞和缺陷。此外，它还有助于测试应用程序的代码安全性。Web安全测试涵盖的主要领域是：·认证方式·授权书·可用性·保密·一致性·不可否认二、安全测试的目的全球范围内的组织和专业人员都使用安全测试来确保其Web应用程序和信息系统的安全性。实施安全测试的主要目的是：·帮助提高产品的安全性和保质期·在开发初期识别并修复各种安全问题·评估当前状态下的稳定性三、为什么我们需要重视Web安全测试·避免性能不一致·避免失去客户信任·避免以安全漏洞的形式丢失重要信息·防止身份不明的用户盗窃信息·从意外故障中恢复·节省解决安全问题所需的额外费用目前市场上有很多免费、付费和开源工具可用来检查Web应用程序中的漏洞和缺陷。关于开源工具，除了免费之外，最大的优点是可以自定义它们，以符合您的特定要求。以下，是我们推荐的十大开源安全测试列表：1、ArachniArachni面向渗透测试人员和管理员的旨在识别Web应用程序中的安全问题。该开源安全测试工具能够发现许多漏洞，包括：·无效的重定向·本地和远程文件包含·SQL注入·XSS注射主要亮点：·即时部署·模块化，高性能Ruby框架·多平台支持下载：https://github.com/Arachni/arachni2、劫掠者便携式Grabber旨在扫描小型Web应用程序，包括论坛和个人网站。轻量级的安全测试工具没有GUI界面，并且使用Python编写。Grabber发现的漏洞包括：·备份文件验证·跨站脚本·文件包含·简单的AJAX验证·SQL注入主要亮点：·生成统计分析文件·简单便携·支持JS代码分析下载：https://github.com/amoldp/Grabber-Security-and-Vulnerability-Analysis-3、IronWaspIronWasp是一种开放源代码，功能强大的扫描工具，能够发现25种以上的Web应用程序漏洞。此外，它还可以检测误报和误报。IronWasp可帮助暴露各种漏洞，包括：·身份验证失败·跨站脚本·CSRF·隐藏参数·特权提升主要亮点：·通过插件或模块可扩展地用C#、Python、Ruby或VB.NET编写·基于GUI·以HTML和RTF格式生成报告下载：https://github.com/Lavakumar/IronWASP4、NogotofailNogotofail是Google开发的网络流量安全测试工具，一款轻量级的应用程序，能够检测TLS/SSL漏洞和配置错误。Nogotofail暴露的漏洞包括：·MiTM攻击·SSL证书验证问题·SSL注入·TLS注入主要亮点：·易于使用·轻巧的·易于部署·支持设置为路由器、代理或VPN服务器下载：https://github.com/google/nogotofail5、SonarQube另一个值得推荐的开源安全测试工具是SonarQube。除了公开漏洞外，它还用于衡量Web应用程序的源代码质量。尽管使用Java编写，SonarQube仍能够分析20多种编程语言。此外，它可以通过持续集成工具轻松地集成到Jenkins之类的产品中。SonarQube发现的问题以绿色或红色突出显示。前者代表低风险的漏洞和问题，而后者则代表严重的漏洞和问题。对于高级用户，可以通过命令提示符进行访问。对于那些相对较新的测试人员，有一个交互式GUI。SonarQube暴露的一些漏洞包括：·跨站脚本·拒绝服务(DoS)攻击·HTTP响应拆分·内存损坏·SQL注入主要亮点：·检测棘手的问题·DevOps集成·设置pullrequests请求分析·支持短期和长期代码分支的质量跟踪·提供QualityGate·可视化项目历史下载：https://github.com/SonarSource/sonarqube6、SQLMapSQLMap完全免费，可以实现网站数据库中SQL注入漏洞检测和利用过程的自动化。该安全测试工具附带一个功能强大的测试引擎，能够支持6种类型的SQL注入技术：·基于布尔的盲注·基于错误·带外·堆叠查询·基于时间的盲注·UNION查询主要亮点：·自动化查找SQL注入漏洞的过程·也可以用于网站的安全测试·强大的检测引擎·支持多种数据库，包括MySQL、Oracle和PostgreSQL下载：https://github.com/sqlmapproject/sqlmap7、W3afW3af是最受Python开发者喜欢的Web应用程序安全测试框架之一。该工具覆盖Web应用程序中超过200多种类型的安全问题，包括：·SQL盲注·缓冲区溢出·跨站脚本·CSRF·不安全的DAV配置主要亮点：·认证支持·易于上手·提供直观的GUI界面·输出可以记录到控制台，文件或电子邮件中下载：https://github.com/andresriancho/w3af8、WapitiWapiti是领先的Web应用程序安全测试工具之一，它是SourceForge和devloop提供的免费的开源项目。Wapiti可执行黑盒测试，检查Web应用程序是否存在安全漏洞。由于是命令行应用程序，因此了解Wapiti使用的各种命令非常重要。Wapiti对于经验丰富的人来说易于使用，但对于新手来说却是一个的考验。但请放心，您可以在官方文档中找到所有Wapiti说明。为了检查脚本是否易受攻击，Wapiti注入了有效负载。该开源安全测试工具同时支持GET和POSTHTTP攻击方法。Wapiti暴露的漏洞包括：·命令执行检测·CRLF注射·数据库注入·档案披露·Shellshock或Bash错误·SSRF(服务器端请求伪造)·可以绕开的.htaccess弱配置·XSS注入·XXE注入主要亮点：·允许通过不同的方法进行身份验证，包括Kerberos和NTLM·带有buster模块，可以暴力破解目标Web服务器上的目录和文件名·操作类似fuzzer·同时支持GET和POSTHTTP方法进行攻击下载：https://github.com/mbarbon/wapiti9、WfuzzWfuzz是用Python开发的，普遍用于暴力破解Web应用程序。该开源安全测试工具没有GUI界面，只能通过命令行使用。Wfuzz暴露的漏洞包括：·LDAP注入·SQL注入·XSS注入主要亮点：·认证支持·Cookiesfuzzing·多线程·多注入点·支持代理和SOCK下载：https://github.com/xmendez/wfuzz10、Zed攻击代理(ZAP)ZAP或ZedAttackProxy由OWASP(开放Web应用程序安全项目)开发，是一种跨多平台，开放源代码Web应用程序安全测试工具。ZAP用于在开发和测试阶段查找Web应用程序中的许多安全漏洞。由于其直观的GUI，新手和专家都可以轻松使用ZedAttachProxy。安全测试工具支持高级用户的命令行访问。除了是最著名的OWASP项目之一，ZAP还是当之无愧的Web安全测试旗舰产品。ZAP用Java编写。除了用作扫描程序外，ZAP还可以用来拦截代理以手动测试网页。ZAP暴露的漏洞包括：·应用错误披露·非HttpOnlyCookie标识·缺少反CSRF令牌和安全标头·私人IP披露·URL重写中的会话ID·SQL注入·XSS注入主要亮点：·自动扫描·易于使用·多平台·基于休息的API·支持身份验证·使用传统而强大的AJAX蜘蛛下载：https://github.com/zaproxy以上就是小编今天为大家分享的关于开源Web应用的安全测试工具汇总的文章，希望本篇文章能够对大家有所帮助，想要了解更多Web相关知识记得关注北大青鸟Web培训官网，最后祝愿小伙伴们工作顺利。

我个人比较推荐Acunetix Web Vulnerability Scanner 你可以看看绿盟推荐10款，并有分析。http://www.xdowns.com/article/241/Article_3194.html
Havij-1.15-ProNBSIv3.0WebScan还有穿山甲
盘点流行的Web漏洞扫描工具：第一款：Acunetix WVSAcunetix WVS是一个Web漏洞扫描器自动检查web应用程序。这个工具特别擅长扫描跨站脚本漏洞、SQL注入、弱密码破解等。AcunetixWVS用于测试你的网站，web应用程序是否安全，通过抓取和分析发现可能的SQL注入。通过测试，它可以列举详细报告，并据此加固web应用程序。第二款：AppScanAppScan在整个应用程序开发中提供安全性测试。该工具还可以帮助在开发阶段早期进行安全保证并简化单元测试。该工具可以扫描许多常见漏洞，例如HTTP响应拆分、跨站点脚本、隐藏字段操作、参数篡改、缓冲区溢出、后门/调试选项等等。AppScan用于增强移动应用程序和web应用程序的安全性。它还用于加强法规遵从性和改进应用程序安全程序管理。该工具还将帮助用户识别安全漏洞、生成报告和修复建议。第三款：Burp SuiteBurp Suite是一个平台，其中包含不同类型的工具，它们之间有许多接口，旨在促进和加速攻击应用程序的过程。所有这些工具共享相同的框架来显示和处理HTTP消息、身份验证、持久性、日志记录、警报、代理和可扩展性。该工具主要用于渗透测试web应用程序。它也可以用来读取网络流量，这个应用程序不仅有用且可靠，它还提供了很多功能。第四款：NiktoNikto是一款开源web服务器扫描程序，可对web服务器上的6700多个潜在危险文件和程序进行测试。它还旨在检查超过1250个过时的服务器版本和超过2700个服务器上的特定版本问题。除此之外，它还会检查服务器配置项，例如是否存在多个索引文件、HTTP服务器选项，并且它会尝试识别已安装的软件和web服务器。插件和扫描项目频繁，可以自动更新。第五款：NetsparkerNetsparker是一款综合型的Web应用安全漏洞扫描工具，它分为专业版和免费版，免费版的功能也比较强大。Netsparker与其他综合性的web应用安全扫描工具相比的一个特点是它能够更好地检测SQLInjection和 Cross-site Scripting类型的安全漏洞。

1、Nexpose：跟其他扫描工具不同的是，它的功能十分强大，可以更新漏洞数据库，也可以看出哪些漏洞可以被Metasploit Exploit，可以生成非常详细、强大的Report，涵盖了很多统计功能和漏洞的详细信息。2、OpenVAS：类似Nessus的综合型漏洞扫描器，可以用来识别远程主机、Web应用存在的各种漏洞，它使用NVT脚本对剁成远程系统的安全问题进行检测。3、WebScarab：可以分析使用HTTP和HTTPS协议进行通信的应用程序，它可以简单记录观察的会话且允许操作人员以各种方式进行查看。4、WebInspect：是一款强大的Web应用程序扫描程序，有助于确认Web应用中已知和未知的漏洞，还可以检查一个Web服务器是否正确配置。5、Whisker/libwhisker：是一个Perla工具，适合于HTTP测试，可以针对许多已知的安全漏洞，测试HTTP服务器，特别是检测危险CGI的存在。6、Burpsuite：可以用于攻击Web应用程序的集成平台，允许一个攻击者将人工和自动的技术进行结合，并允许将一种工具发现的漏洞形成另外一种工具的基础。7、Wikto：是一个Web服务器评估工具，可以检查Web服务器中的漏洞，并提供与Nikto一样的很多功能，但增加了许多有趣的功能部分。8、WatchfireAppScan：是一款商业类的Web漏洞扫描程序，简化了部件测试和开发早期的安全保证，可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等等。 9、N-Stealth：是一款商业级的Web服务器安全扫描程序，主要为Windows平台提供扫描，但并不提供源代码。
十大Web漏洞扫描程序,见： http://www.15897.com/blog/post/top-10-vul-scanner.html 介绍

一、NMap 是一个开源且免费的安全扫描工具，可以被用于安全审计和网络发现，能被使用于Windows、Linux、Mac OS等，可用于探测网络中可访问的主机，检测它们的类型和版本、正在提供的服务以及正在使用的防火墙或数据包过滤器的信息等。二、Wireshark提供免费且开源的渗透测试服务，可以把它当做网络协议分析器，能被适用于Linux、Windows、Unix、Mac OS以及其他常见的操作系统中。三、Metasploit可为用户提供有关安全风险和漏洞等方面的重要信息，让用户了解各种应用程序、平台和操作系统上的最新漏洞，以及可以被利用的代码，它可在Linux、Windows、AppleMac OS上运行命令行和图形用户界面。四、Netsparker是一款精确、自动化且易用的Web应用安全扫描工具，可以被用于自动化识别Web应用服务中的跨站点脚本，即XSS，和SQL注入等安全风险爱你，不仅可以生成风险报告，还可以通过概念证明来确认是否有误报，且能减少手动验证漏洞的时间。五、Acunetix是一款全自动化的Web漏洞扫描程序，可以智能检测、识别并报告Web应用漏洞，用户可以利用它将检测到的漏洞导出到问题跟踪器中。六、Nessus 是针对安全从业人员的漏洞评估解决方案，能够协助检测和修复各种操作系统、应用程序、乃至设备上的漏洞、恶意软件、配置错误、以及补丁的缺失，运行于Windows、Linux、Mac上，用户可以用它来进行IP与网站的扫描，合规性检查，敏感数据搜索等测试。
金山网镖，360，都可以，还有一些端口监视器等
你应该说具体一点 如果仅仅是为了自己的系统更安全，定期更新补丁，适时查杀病毒就足够了。

Acunetix WVS全称Acunetix Web Vulnerability Scanner，他是一个网站及服务器漏洞扫描软件。拥有一个操作方便的图形用户界面，并且能够创建专业级的Web站点安全审核报告，可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。 本次提供的Acunetix WVS 10版本可以扫描的漏洞比较多，功能比较全，重新设计的基于Web的用户界面，让用户使用和管理更加容易，从而更高效地工作并降低成本。功能特点：1、自动的客户端脚本分析器，允许对 Ajax 和 Web 2.0 应用程序进行安全性测试。2、业内最先进且深入的 SQL 注入和跨站脚本测试3、高级渗透测试工具，例如 HTTP Editor 和 HTTP Fuzzer4、可视化宏记录器帮助您轻松测试 web 表格和受密码保护的区域5、支持含有 CAPTHCA 的页面，单个开始指令和 Two Factor（双因素）验证机制6、丰富的报告功能，包括 VISA PCI 依从性报告7、高速的多线程扫描器轻松检索成千上万个页面8、智能爬行程序检测 web 服务器类型和应用程序语言9、Acunetix 检索并分析网站，包括 flash 内容、SOAP 和 AJAX 10、端口扫描 web 服务器并对在服务器上运行的网络服务执行安全检查