网站安全测试工具(安全测试工具appscan)

1. Page Speed Online Google的Page Speed Online（页面在线速度）启用了Google的网页性能优化方案。输入你的网站，跑网页分析。结束之后，Page Speed会打出一个综合分数，让后提供一套该净方案的总结报告：你可以逐个点击查看。它还包括了手机端的网速测试。2. Pingdom ToolsPingdom提供服务器，网络和网页监测。它的总结报告更加详细：网页上的每一个对象的速度都有一份独立报告（图像、视屏、脚本、样式表等)，其中还包括了网页缓存。报告中的细目包括了下载速度，网页大小和提交的协议3. Free Website Performance Test (BrowserMob)BrowserMob的产品，提供网页加载测试和监测服务。它的报告信息量更大（如图)。还有一个特点是，它从全球4个地方ping你的网站，让后给出综合报告。给了你一个全球性的视角。4. Which loads faster?这个工具比较两个网站的速度，最后提供的报道是个相对的信息。这样的工具很有用处：譬如输入google 和bing 来比较两者的优劣。同样的，你可以用它来比较自己和竞争者的网站。值得一提的是，它是个开源的工具。5. WebPagetest这个小巧的工具是把你的网页加载到浏览器上从而测试他们的网页加载速度（浏览器包括了Chrome,Firefox 和IE).用户还能选择全球不同的地点打开你的网页的速度。更加高级的功能是你能选择用户端网速和是否包括“屏蔽广告”，你就能知道在网页上跑广告的性能代价6. Web Page Analyzer这是所有这些性能测试里面最老的一个，建于2003年；根据测试报告，附加提供性能的意见。7. Show Slow服务器应用ShowSlow的开源网页版；你可以添加需要检测的网页，show slow帮你用三大测试工具（YSlow,PageSpeed 和dynaTrac）定时测试。这个工具虽然是免费的，但是需要注册使用。8. Site-Perf这个对于网页设计人员来讲，有点太技术性，它的数据报告是基于发送包的数量和经过的路由器等等数据结合的；没有针对网页设计人员的总结。但是对于技术人员来讲，又简单了点。但是它有一个特点，对于需要登录的网页，提供用户名和密码也能监测。9. Load Impact这个是20个工具里面功能最强大的。它可以进行压力测试：用虚拟器模拟用户，观测随着用户增加，网页性能的变化。可以测试出你的网页的耐用和高效。10. OctaGate SiteTimer这个是所有工具里面最直观的；如果你就想知道你的网页里面哪个元素拖了后腿，就跑这个工具。它就一张图，告诉你每个网页元素下载需要时间。另外10个：11.Web Site Performance Test (Gomez) – 实时检测，深入到包括了查找域名时间。12.Webslug – 比较两个网站从而给出一个相对性能优劣总结13.WebWait – 简单的工具；你给出要多少次要求，它显示每次要网页间的时间差14.Website Speed Test (Searchmetrics) – 基于网络速度，给出网页性能报表。15.GTmetrix – 用Yslow和PageSpeed做测试的工具网站。总结报告一目了然，适用于对外报告。16.Website Speed Test (WebToolHub) – 表格形式，可以用在商务企划书上。17.Yottaa Site Speed Optimizer – 需要注册。可以用在商业企划书上，总结报告做地很漂亮。18.Zoompf Free Web Performance Scan – 需要电邮注册。它会扫一下你的网页，总结出取决网页性能的元素。19.Site speed checker – 可以定义测试，然后放在最多10个网页上一起跑。 20.Free web site speed test (Self SEO) – 可以10个网页一起测试，看它们之间的差别。

试试安全软件扫描 打开腾讯电脑管家——工具箱——漏洞修复 可以自动修复漏洞：第一时间发现并修复系统存在的高危漏洞，在不打扰您的情况下自动为系统打上漏洞补丁，轻轻松松将病毒木马拒之门外。自动修复漏洞电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，第一时间自动进行修复，无需用户参与，最大程度保证用户电脑安全。
Nikto是基于PERL开发的程序，所以需要PERL环境。Nikto支持Windows（使用ActiveState Perl环境）、Mac OSX、多种Linux 或Unix系统。Nikto使用SSL需要Net::SSLeay PERL模式，则必须在Unix平台上安装OpenSSL。从官方网站上下载nikto-current.tar.gz文件，在Linux系统解压操作：tar -xvf nikto-current.tar.gzgzip -d nikto-current.tar解压后的结果如下所示：Config.txt、docs、kbase、nikto.pl、plugins、 templatesNikto的使用说明：Nikto扫描需要主机目标IP、主机端口。默认扫描的是80端口。扫描主机目标IP地址可以使用选项-h(host)。下面将扫描IP为192.168.0.1的TCP 80端口，如下所示：perl nkito.pl –h 192.168.0.1也可以自定义扫描的端口，可以使用选项-p(port)，下面将扫描IP为192.168.0.1的TCP 443端口，如下所示：perl nikto.pl –h 192.168.0.1 –p 443Nikto也可以同时扫描多个端口，使用选项-p(port)，可以扫描一段范围（比如：80-90），也可以扫描多个端口（比如：80,88,90）。下面扫描主机的80/88/443端口，如下所示：Perl nikto.pl –h 192.168.0.1 –p 80,88,443如果运行Nikto的主机是通过HTTP proxy来访问互联网的，也可以使用代理来扫描，使用选项-u(useproxy)。下面将通过HTTP proxy来扫描，如下所示：Perl nikto.ph –h 192.168.0.1 –p 80 –uNikto的更新：Nikto的升级可以通过-update的命令来更新插件和数据库，如下所示：Perl nikto.ph –update也可以通过从网站下载来更新插件和数据库：http://updates.cirt.net/Nikto的选项说明：-Cgidirs扫描CGI目录。-config使用指定的config文件来替代安装在本地的config.txt文件-dbcheck选择语法错误的扫描数据库。-evasion使用LibWhisker中对IDS的躲避技术，可使用以下几种类型：1．随机URL编码（非UTF-8方式）2．自选择路径（/./）3．虚假的请求结束4．长的URL请求5．参数隐藏6．使用TAB作为命令的分隔符7．大小写敏感8．使用Windows路径分隔符替换/9．会话重组-findonly仅用来发现HTTP和HTTPS端口，而不执行检测规则-Format指定检测报告输出文件的格式，默认是txt文件格式（csv/txt/htm）-host目标主机，主机名、IP地址、主机列表文件。-idID和密码对于授权的HTTP认证。格式：id:password-mutate变化猜测技术1.使用所有的root目录测试所有文件2.猜测密码文件名字3.列举Apache的用户名字(/~user)4.列举cgiwrap的用户名字(/cgi-bin/cgiwrap/~user)-nolookup不执行主机名查找-output报告输出指定地点-port扫描端口指定，默认为80端口。-Pause每次操作之间的延迟时间- Display控制Nikto输出的显示1.直接显示信息2.显示的cookies信息3.显示所有200/OK的反应4.显示认证请求的URLs5.Debug输出-ssl强制在端口上使用SSL模式-Single执行单个对目标服务的请求操作。-timeout每个请求的超时时间，默认为10秒-TuningTuning 选项控制Nikto使用不同的方式来扫描目标。0．文件上传1.日志文件2.默认的文件3.信息泄漏4.注射（XSS/Script/HTML）5.远程文件检索（Web 目录中）6.拒绝服务7.远程文件检索（服务器）8.代码执行－远程shell9.SQL注入a.认证绕过b.软件关联g.属性（不要依懒banner的信息）x.反向连接选项-useproxy使用指定代理扫描-update更新插件和数据库

软件测试分为功能测试、接口测试、自动化测试、性能测试几大方向，每个方向用到的测试工具都不尽相同。功能测试会用到SVN、禅道、QCALM、Jira等软件测试管理工具。接口测试则会用到Jmeter、Postman、Fiddler软件，使用Jmeter可以执行测试用例，对页面跳转，参数传递等功能进验证。 自动化测试则又分为Web自动化测试和移动自动化测试。Web自动化测试主要会用到Selenium软件以及Firebug插件工具，使用Selenium可以对网站的核心功能进行自动化测试，包括元素定位、鼠标键盘的模拟操作及自动化测试框架的使用等。Web自动化测试主要用到的是Appium以及Monkey软件。Appium可以对APP核心功能进行测试验证，包括ID、xpath、list元素定位，数据交互、模块封装以及自动化测试框架的使用，生成测试报告，对APP功能进行评估等。
我们将常用的测试工具分为10类： 1. 测试管理工具2. 接口测试工具3. 性能测试工具4. C/S自动化工具5.白盒测试工具6.代码扫描工具7.持续集成工具8.网络测试工具9.app自动化工具 10.web安全测试工具

Acunetix WVS全称Acunetix Web Vulnerability Scanner，他是一个网站及服务器漏洞扫描软件。拥有一个操作方便的图形用户界面，并且能够创建专业级的Web站点安全审核报告，可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。 本次提供的Acunetix WVS 10版本可以扫描的漏洞比较多，功能比较全，重新设计的基于Web的用户界面，让用户使用和管理更加容易，从而更高效地工作并降低成本。功能特点：1、自动的客户端脚本分析器，允许对 Ajax 和 Web 2.0 应用程序进行安全性测试。2、业内最先进且深入的 SQL 注入和跨站脚本测试3、高级渗透测试工具，例如 HTTP Editor 和 HTTP Fuzzer4、可视化宏记录器帮助您轻松测试 web 表格和受密码保护的区域5、支持含有 CAPTHCA 的页面，单个开始指令和 Two Factor（双因素）验证机制6、丰富的报告功能，包括 VISA PCI 依从性报告7、高速的多线程扫描器轻松检索成千上万个页面8、智能爬行程序检测 web 服务器类型和应用程序语言9、Acunetix 检索并分析网站，包括 flash 内容、SOAP 和 AJAX 10、端口扫描 web 服务器并对在服务器上运行的网络服务执行安全检查

今天小编要跟大家分享的文章是关于对于Web安全问题有哪些常用的测试方法?安全问题一直是我们重点关注的问题，开发的过程中还需要着重注意，该转义的地方转义;该屏蔽的地方屏蔽，该过滤的地方过滤等等。今天小编就来跟大家说一说Web安全问题有哪些常用的测试方法有哪些，让我们一起来看一看吧~ 一、常见的Web安全问题常见的Web安全问题有：SQL注入、跨站点脚本攻击、跨站点伪造请求、目录遍历、邮件表头注入、页面错误信息等。二、手动安全测试对于手动安全测试来说：1、URL有参数的，手动修改参数，看是否得到其他用户的信息和相关页面;2、在登录输入框的地方输入‘or1=1--或“or1=1--等看是否有SQL注入;3、在注重SQL注入的同时，一般在有输入框的地方输入三、自动化安全问题对于自动化安全测试来说：测试组目前使用的安全测试工具为IBM的AppScan(当然，是破解版,34上已经放过该工具的安装包)1、在使用之前务必确认自己绑定的Host;2、配置URL、开发环境、错误显示类型;3、结果保存后可根据提示的问题类型和解决建议进行分析。四、Web安全测试考虑测试点Web安全测试通常要考虑的测试点：1、输入的数据没有进行有效的控制和验证2、用户名和密码3、直接输入需要权限的网页地址可以访问4、认证和会话数据作为GET的一部分来发送5、隐藏域与CGI参数6、上传文件没有限制7、把数据验证寄希望于客户端的验证8、跨站脚本(XSS)9、注入式漏洞(SQL注入)10、不恰当的异常处理11、不安全的存储12、不安全的配置管理13、传输中的密码没有加密14、弱密码，默认密码15、缓冲区溢出16、拒绝服务五、SQL注入SQL注入：所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击.(select*form表Whereid=1or11or1是输入框输入的这样会导致满足id=1或1的数据都查出来而所有的数据都满足1这样就查出来了很多不该被查出来的数据这就是sql注入)以上就是小编今天为大家分享的关于对于Web安全问题有哪些常用的测试方法?的文章，希望本篇文章能够对正在从事Web相关工作的小伙伴们有所帮助。想要了解更多Web相关知识记得关注北大青鸟Web前端培训官网。来源：蜻蜓91Testing