15個針對web項目的開源安全測試工具

原文地址：https://www.testbytes.net/blog/open-source-security-testing-tools/

簡介不翻譯，直接進入正文
下載地址在發(fā)文之日均可使用

1-Wapiti

wapiti.png

Wapiti作為一個高效的web項目安全測試工具，它支持用戶對web應(yīng)用程序進行評估挡毅。運用“黑盒測試”技術(shù)蚁廓，它可以在Web應(yīng)用中檢查出可能存在的缺陷漏洞而昨。

在測試過程中毫深，Wapiti會對網(wǎng)頁進行掃描萄焦，并注入測試數(shù)據(jù)來查找安全隱患扇商。Wapiti支持GET和POST方法的HTTP攻擊凤瘦，可確認(rèn)多種類型的安全漏洞，比如：

文件泄露（File disclosure）
數(shù)據(jù)庫注入（Database Injection）
跨站腳本注入（XSS Injection）
命令執(zhí)行探測（Command Execution Detection）
CRLF注入（CRLF Injection）
XML外部實體注入（XXE Injection-Xml External Entity Injection）
潛在危險文件（Potentially dangerous files）
可被輕易繞過的 .htaccess配置
備用文件造成的泄漏

Wapiti作為一個命令行應(yīng)用案铺，對初學(xué)者來說使用有難度蔬芥，但對專業(yè)人士卻很有幫助。操作該軟件的用戶需要對命令的使用完全了解控汉。

下載地址：https://sourceforge.net/projects/wapiti/

2-Zed Attack Proxy

zap.png

Zed Attack Proxy笔诵，被人們稱為ZAP，是一個由OWASP開發(fā)開源軟件姑子。ZAP支持在WINdows乎婿，UNIX/LINUX和Mac OS平臺上工作，它可幫助用戶查找Web應(yīng)用中的多種安全漏洞街佑，即使在開發(fā)或測試過程中它仍可以使用谢翎。這款測試工具便于使用，即使是滲透測試的初學(xué)者都可以掌握沐旨。

特性：

主動掃描
認(rèn)證支持
AJAX spider掃描
動態(tài)SSL證書
強制瀏覽
截取代理
websocket支持
基于REST的API及其他

下載地址：https://www.zaproxy.org/

3-Vega

vega.png

Vega是一個由Java寫成的開源web應(yīng)用測試工具森逮，它擁有用戶交互界面，可以在Windows希俩、linux吊宋、Mac OS上使用，它可以幫助用戶查找到：

尋找SQL注入
驗證SQL注入
文件泄露
跨站腳本注入（XSS）
提高TLS服務(wù)器安全性

該工具也允許用戶設(shè)置偏好颜武，比如每秒最多/最少請求數(shù)、子路徑數(shù)和節(jié)點數(shù)拖吼。一旦提供了合法證書鳞上，用戶就可以把Vega當(dāng)做主動掃描器使用，用來攔截并掃描代理吊档。

下載地址：https://subgraph.com/vega/download/index.en.html

4-W3af

w3af.png

W3af是一個流行的web應(yīng)用安全測試框架篙议。它由python寫成，可以提供一個高效且針對web應(yīng)用的滲透測試平臺。

該工具可檢測出超過200種web應(yīng)用安全問題鬼贱，包括SQL注入和跨站腳本注入移怯。他改回在web應(yīng)用中檢測下列漏洞：

SQL盲注（Blind SQL Injection）
緩存溢出
多重跨域資源共享的錯誤配置（Multiple CORS misconfigurations）
不安全的DAV配置
CSRF漏洞及其他

W3af擁有用戶交互界面和控制臺界面，方便用戶理解这难。他還支持用戶使用認(rèn)證模塊驗證網(wǎng)站舟误。

下載地址：https://sourceforge.net/projects/w3af/

5-Skipfish

Skipfish是一個遞歸爬取網(wǎng)站、查找每個頁面的潛在漏洞并最終出具審查報告web應(yīng)用安全測試工具姻乓。它由C語言編寫嵌溢，旨在充分使用HTTP并留下最少的CPU痕跡。

這款軟件自稱可以每秒請求2千次蹋岩，并且不顯露CPU痕跡赖草。它還宣稱，為了提供高質(zhì)量的正面效果剪个，它會在爬取測試web應(yīng)用時使用探試法秧骑。這款工具可在Linux, FreeBSD, Mac OS X, Windows.上使用。

下載地址：https://code.google.com/archive/p/skipfish/downloads?page=1

6-Ratproxy

作為一個開源web項目安全測試工具扣囊，Ratproxy可被用來查找web應(yīng)用中的任何漏洞腿堤，從而保證應(yīng)用免受黑客攻擊。該半自動型測試軟件可在Linux, FreeBSD, MacOS X, Windows (Cygwin) 系統(tǒng)上運行如暖。

Ratproxy旨在解決用戶在使用其他代理軟件過程中常會碰到的安全問題笆檀。它可以輕易分辨CSS樣式和JavaScript 代碼。

下載地址：https://code.google.com/archive/p/ratproxy/downloads

7-SQLMap

sqlmap.png

SQLMap是一個流行的開源web應(yīng)用安全測試工具盒至，它可以自動地在目標(biāo)網(wǎng)站中執(zhí)行檢測并利用網(wǎng)站數(shù)據(jù)庫中的SQL注入漏洞酗洒。它包含多種特性，且擁有一個強勁引擎枷遂，可以毫不費力地執(zhí)行滲透并對web應(yīng)用的SQL注入漏洞進行查找樱衷。

SQLMap支持很多數(shù)據(jù)庫服務(wù)，包括MySQL, Oracle, PostgreSQL, Microsoft SQL 服務(wù)器等等酒唉。并且矩桂，該測試工具支持六種SQL注入的方法。

下載地址：https://github.com/sqlmapproject/sqlmap