十大Web网站漏洞扫描程序工具

Answer 1

网络发展至今，我们已经见识到了它的强大，但网络安全始终是一个重要的话题。如何建立一个安全的Web环境是我们需要考虑的问题。选择合适的安全工具是关键。在危险发生之前，我们可以通过测试来发现系统中的漏洞。以下是10大Web漏洞扫描程序：
1. Nikto
这是一个开源的Web服务器扫描程序，它可以对Web服务器的多种项目进行全面的测试。其扫描项目和插件会定期更新，并且可以自动更新。Nikto能在短时间内测试Web服务器，并在日志文件中清晰地记录结果。它还支持LibWhisker的反IDS方法，但并非每次检查都能发现安全问题。有些项目只是提供信息类型的检查，这可以找出一些不存在安全漏洞的项目，但Web管理员或安全工程师可能并不知道。
2. Paros proxy
这是一个用于评估Web应用程序漏洞的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看HTTP/HTTPS，从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序，hash计算器，以及一个可以测试常见Web应用程序攻击的扫描器。
3. WebScarab
它可以分析使用HTTP和HTTPS协议进行通信的应用程序。WebScarab可以记录观察到的会话，并允许操作人员以各种方式观察会话。如果你需要观察一个基于HTTP(S)应用程序的运行状态，WebScarab就可以满足你的需求。无论是帮助开发人员调试其他方面的难题，还是允许安全专业人士识别漏洞，它都是一款不错的工具。
4. WebInspect
这是一款强大的Web应用程序扫描程序。SPI Dynamics的这款应用程序安全评估工具有助于确认Web应用中已知的和未知的漏洞。它还可以检查Web服务器是否正确配置，并尝试常见的Web攻击，如参数注入、跨站脚本、目录遍历攻击等。
5. Whisker/libwhisker
Libwhisker是一个Perl模块，适合于HTTP测试。它可以测试许多已知的安全漏洞，测试HTTP服务器，特别是检测危险CGI的存在。Whisker是一个使用libwhisker的扫描程序。
6. Burpsuite
这是一个可以用于攻击Web应用程序的集成平台。Burp套件允许攻击者将人工和自动技术结合，以列举、分析、攻击Web应用程序，或利用这些程序的漏洞。各种各样的burp工具协同工作，共享信息，并允许将一种工具发现的漏洞形成另外一种工具的基础。
7. Wikto
可以说这是一个Web服务器评估工具，它可以检查Web服务器中的漏洞，并提供与Nikto一样的许多功能，但增加了许多有趣的功能，如后端miner和紧密的Google集成。它为MS.NET环境编写，但用户需要注册才能下载其二进制文件和源代码。
8. Acunetix Web Vulnerability Scanner
这是一款商业级的Web漏洞扫描程序，它可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。它拥有一个操作方便的图形用户界面，并且能够创建专业级的Web站点安全审核报告。
9. Watchfire AppScan
这也是一款商业级的Web漏洞扫描程序。AppScan在应用程序的整个开发周期提供安全测试，从而简化部件测试和开发早期的安全保证。它可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等。
10. N-Stealth
N-Stealth是一款商业级的Web服务器安全扫描程序。它比一些免费的Web扫描程序，如Whisker/libwhisker、Nikto等的升级频率更高。它主要为Windows平台提供扫描，但并不提供源代码。
此外，还有其他通用的VA工具，如Nessus, ISS Internet Scanner, Retina, SAINT, Sara等，它们也都包含Web扫描部分。