14種開源的流行掃描器介紹

序言

過去許多熱門網站都被黑客入侵，這樣看來黑客現在是活躍的，總是試圖破解網站和洩漏數據。這就是為什麼Web應用程式的安全測試非常重要的原因，而這裡也是web應用安全掃描器的角色，Web應用程式安全掃描器是一種軟體程序，可在Web應用程式上執行自動黑匣子測試，並識別安全漏洞。掃描器不訪問原始碼，它們只執行功能測試並嘗試查找安全漏洞。

各種付費和免費的Web應用程式漏洞掃描器都可以使用。在這篇文章中，我們列出了最好的免費開源Web應用程式漏洞掃描程序。我以隨機順序寫了這些相關的軟體，所以請不要以為它是工具的排名。

我只是添加可用於在Web應用程式中查找安全漏洞的開源工具，我沒有寫怎樣使用工具來查找伺服器漏洞。並且不要混淆免費工具和開源工具。因為還有其他各種可用的工具可以免費使用，但是並不為其他開發人員提供原始碼。開源工具是向開發人員提供原始碼的工具，以便開發人員可以修改工具或進一步開發幫助。

這些是最好的開源Web應用程式滲透測試工具：

Grabber

Grabber是一個很好的Web應用程式掃描器，可以檢測Web應用程式中的許多安全漏洞。它執行掃描並告知漏洞在哪裡。它可以檢測以下漏洞：

此工具不提供任何GUI界面。它也不能創建任何PDF報告。這個工具的設計是簡單和個人使用。你可以嘗試這個工具，供個人使用。如果您正在考慮專業使用，我將永遠不會推薦它。

這個工具是用Python開發的。如果需要，也可以使用可執行版本。原始碼可用，因此您可以根據需要進行修改。主要腳本是grabber.py，它曾經執行過調用其他模塊，如sql.py，xss.py或其他模塊。

在這裡下載：http : //rgaucher.info/beta/grabber/Github上的原始碼：https：//github.com/neuroo/grabber

Vega

Vega是另一個免費的開源Web漏洞掃描器和測試平臺。使用此工具，您可以執行Web應用程式的安全測試。該工具是用Java編寫的，並提供了一個基於GUI的環境。它適用於OS X，Linux和Windows。

它可以用於查找SQL注入，頭注入，目錄列表，shell注入，跨站點腳本，文件包含和其他Web應用程式漏洞。此工具也可以使用JavaScript編寫的強大的API進行擴展。

在使用該工具時，可以讓您設置一些首選項，如路徑級別的總數，節點的子路徑數，每秒的深度和最大請求數。您可以使用Vega掃描儀，Vega代理，代理掃描儀和掃描儀與憑據。如果需要幫助，可以在文檔部分找到資源：

文檔：https：//subgraph.com/vega/documentation/index.en.html下載Vega：https : //subgraph.com/vega/

Zed Attack Proxy

Zed Attack Proxy也被稱為ZAP。這個工具是開源的，由AWASP開發。它適用於Windows，Unix / Linux和Macintosh平臺。我個人喜歡這個工具。它可用於在Web應用程式中查找各種漏洞。該工具非常簡單易用。即使您是新進入的滲透測試者，您也可以輕鬆使用此工具開始學習Web應用程式的滲透測試。

這些是ZAP的關鍵功能：

攔截代理

自動掃描儀

傳統但強大的蜘蛛

模糊器

Web Socket支持

即插即用支持

驗證支持

基於REST的API

動態SSL證書

智慧卡和客戶端數字證書支持
您可以通過輸入URL進行掃描，將此工具用作掃描器，也可以使用此工具作為攔截代理手動對特定頁面執行測試。

下載ZAP：http : //code.google.com/p/zaproxy/

Wapiti

Wapiti也是一個不錯的網絡漏洞掃描器，可讓您審核Web應用程式的安全性。它通過掃描網頁和注入數據進行黑盒測試。它嘗試注入有效載荷並查看腳本是否易受攻擊。它支持GET和POST HTTP攻擊，並檢測多個漏洞。

它可以檢測以下漏洞：

信息洩漏

文件包含

跨站腳本（XSS）

命令執行檢測

CRLF注射

sql注射和Xpath注射

弱的.htaccess配置

備份文件掃描

Wapiti是一個命令行應用程式。所以初學者可能並不容易。但對於專家來說，表現會很好。對於使用此工具，您需要學習更多的知識的話，可在官方文檔中找到的命令。

下載Wapiti與原始碼：http ://wapiti.sourceforge.net/

W3af

W3af是一個流行的Web應用程式攻擊和審計框架。該框架旨在提供一個更好的Web應用程式滲透測試平臺。它是使用Python開發的。通過使用此工具，您將能夠識別超過200種Web應用程式漏洞，包括SQL注入，跨站點腳本和許多其他漏洞。

它附帶一個圖形和控制臺界面。您可以通過使用易於理解的界面輕鬆使用它。

如果您使用圖形界面，我不認為您將面臨該工具的任何問題。您只需選擇選項，然後啟動掃描儀。如果網站需要身份驗證，您還可以使用身份驗證模塊來掃描受會話保護的網頁。

您可以閱讀這些文章，以了解有關此工具的更多信息。

您可以在Github倉庫訪問原始碼：https：//github.com/andresriancho/w3af/從官方網站下載：http：//w3af.org/

WebScarab

WebScarab是一個基於Java的安全框架，用於使用HTTP或HTTPS協議分析Web應用程式。使用可用的插件，您可以擴展該工具的功能。此工具可作為攔截代理。因此，您可以查看來到瀏覽器的請求和響應，並轉到伺服器。您也可以在伺服器或瀏覽器接收請求或響應之前修改請求或響應。

如果你是初學者，這個工具不適合你。該工具專為那些對HTTP協議有較好了解而且可以編寫代碼的用戶而設計。

Webscarab提供了許多功能，可以幫助滲透測試人員在Web應用程式上緊密合作，並發現安全漏洞。它有一個蜘蛛，可以自動找到目標網站的新URL。它可以輕鬆地提取頁面的腳本和HTML。代理監視伺服器和瀏覽器之間的流量，您可以通過使用可用的插件來控制請求和響應。可用的模塊可以輕鬆檢測大多數常見漏洞，如SQL注入，XSS 和許多其他漏洞。

該工具的原始碼可在Github上獲得：https：//github.com/OWASP/OWASP-WebScarab下載WebScarab：https：//www.owasp.org/index.php/Category: OWASP_WebScarab_Project

Skipfish

Skipfish也是一個很好的Web應用程式安全工具。它抓取網站，然後檢查每個頁面的各種安全威脅，最終準備最終報告。該工具是用C編寫的。它對HTTP處理和利用最小CPU進行了高度優化。它聲稱它可以輕鬆處理每秒2000個請求，而不會增加CPU負載。它在瀏覽和測試網頁時使用啟發式方法。該工具還聲稱提供高質量和較少的假陽性。
此工具適用於Linux，FreeBSD，MacOS X和Windows。

從GOogle代碼下載Skipfish或代碼：http : //code.google.com/p/skipfish/

Ratproxy

Ratproxy也是一個開源Web應用程式安全審核工具，可用於查找Web應用程式中的安全漏洞。它支持Linux，FreeBSD，MacOS X和Windows（Cygwin）環境。

此工具旨在克服用戶通常面臨的問題，同時使用其他代理工具進行安全審核。它能夠區分CSS樣式表和JavaScript代碼。它還支持中間攻擊中的SSL人員，這意味著您還可以看到通過SSL的數據。您可以在這裡閱讀有關此工具的更多信息：http : //code.google.com/p/ratproxy/wiki/RatproxyDoc

下載http://code.google.com/p/ratproxy/

sqlmap

SQLMap是另一種流行的開放源碼滲透測試工具。它自動化在網站資料庫中查找和利用SQL注入漏洞的過程。它具有強大的檢測引擎和許多有用的功能。因此，滲透測試人員可以輕鬆地在網站上執行SQL注入檢查。

它支持資料庫伺服器，包括MySQL，Oracle，PostgreSQL，Microsoft SQL Server，Microsoft Access，IBM DB2，SQLite，Firebird，Sybase和SAP MaxDB。它全面支持6種SQL注入技術：基於時間的盲人，基於布爾的盲人，基於錯誤的UNION查詢，堆疊查詢和帶外。

訪問Github資源庫中的原始碼：https：//github.com/sqlmapproject/sqlmap在這裡下載SQLMap：https：//github.com/sqlmapproject/sqlmap

Wfuzz

Wfuzz是Web應用程式滲透測試的另一個免費開放原始碼工具。它可用於強制使用GET和POST參數進行各種注射，如SQL，XSS，LDAP等等。它還支持cookie模糊，多線程，SOCK，代理，認證，強制強制，多代理等諸多功能。您可以在這裡閱讀有關該工具功能的更多信息：

http : //code.google.com/p/wfuzz/

該工具不提供GUI界面，因此您必須在命令行界面上工作。

從code.google.com下載Wfuzz：http : //code.google.com/p/wfuzz/

Grendel-Scan

Grendel-Scan是另一個很好的開源Web應用程式安全工具。這是一種在Web應用程式中查找安全漏洞的自動工具。許多功能也可用於手動滲透測試。此工具適用於Windows，Linux和Macintosh。這個工具是用Java開發的。

下載工具和原始碼：http : //sourceforge.net/projects/grendel/

Watcher

Watcher是一種被動的Web安全掃描器。它不會遇到大量請求或爬網目標網站。它不是一個單獨的工具，而是一個附加的Fiddler。所以你需要先安裝Fiddler，然後安裝Watcher來使用它。
它靜態地分析用戶交互的請求和響應，然後對應用程式進行報告。由於它是被動掃描儀，它不會影響網站的託管或雲基礎架構。

下載觀察者及其原始碼：http : //websecuritytool.codeplex.com/

X5S

X5s也是一個Fiddler附件，旨在提供一種查找跨站點腳本漏洞的方法。這不是一個自動的工具。因此，您需要了解編碼問題如何導致XSS。您需要手動查找注入點，然後檢查XSS在應用程式中的位置。

我們已經在上一篇文章中介紹了X5S。因此，您可以參考該文章來閱讀有關X5S和XSS的更多信息。

從codeplex下載X5S和原始碼：http ://xss.codeplex.com/您還可以參考本官方指南了解如何使用X5S：http ://xss.codeplex.com/wikipage?title=tutorial

Arachni

Arachni是開發用於提供滲透測試環境的開源工具。此工具可以檢測各種Web應用程式安全漏洞。它可以檢測各種漏洞，如SQL注入，XSS，本地文件包含，遠程文件包含，未驗證的重定向等等。

在此下載此工具：http : //www.arachni-scanner.com/

寫在最後

這些是最好的開源Web應用程式安全測試工具。我盡力列出在線可用的所有工具，如果一個工具很多年沒有更新，我不會在這裡提到。因為如果一個工具超過10年，它可能會在最近的環境中創建兼容性問題。如果您是開發人員，您還可以加入開發人員的這些工具的社區，並幫助這些工具增長。通過幫助來一起改善這些工具，您還將增加您的知識和專業知識。

如果要開始滲透測試，我將建議使用已經為滲透測試者創建的Linux發行版。這些環境是backtrack，gnacktrack，backbox和blackbuntu。所有這些工具都有各種免費和開源工具，用於網站滲透測試。所以，你可以去使用這些環境。
喜歡我們就長按下面的二維碼關注我們吧。