1.web安全测试工具有哪些
2.最佳的75个网络安全工具
3.路由器漏洞检测工具有哪些
4.13款Chrome渗透插件推荐
5.十大Web网站漏洞扫描程序工具
6.Web安全测试图书目录

web安全测试工具有哪些

       1、Nikto

       这是一个开源的Web服务器扫描程序，它可以对Web服务器的多种项目进行全面的测试。其扫描项目和插件经常更新并且可以自动更新。 Nikto 可以在尽可能短的周期内测试你的Web 服务器，它也可以支持LibWhisker 的google大神源码反IDS方法。

       不过，并非每一次检查都可以找出一个安全问题。有一些项目是仅提供信息(“info only” )类型的检查，这种检查可以查找一些并不存在安全漏洞的项目，不过 Web 管理员或安全工程师们并不知道，这些项目通常都可以恰当地标记出来。可以省去不少麻烦。

       2、Acunetix Web Vulnerability Scanner

       一款商业级的Web漏洞扫描程序，它可以检查Web应用程序中的漏洞，如SQL注入、跨站脚 本攻击、身份验证页上的弱口令长度等。它拥有一个操作方便的图形用户界面，并且能够创建专业级的Web 站点安全审核报告。

       3、WebScarab

       它可以分析使用HTTP 和HTTPS 协议进行通信的应用程序，WebScarab 可以用最简单地形式记录它观察的会话，并允许操作人员以各种方式观查会话。不管是帮助开发人员调试其它方面的难题，还是允许安全专业人员识别漏洞，它都是一款不错的工具。

       4、WebInspect

       一款强大的Web 应用程序扫描程序。SPI Dynamics 的这款应用程序安全评估工具有助于确认Web 应用中已知的和未知的漏洞。它还可以检查一个Web 服务器是否正确配置，并会尝试一些常见的Web 攻击，如参数注入、跨站脚本、目录遍历攻击(directory traversal)等等。

       5、Whisker/libwhisker

       Libwhisker 是一个Perla模块，适合于HTTP测试。它可以针对许多已知的安全漏洞，测试HTTP 服务器，特别是检测危险CGI 的存在。Whisker 是一个使用libwhisker 的扫描程序。

       6、Paros proxy

       一个对Web 应用程序的weavesilk源码漏洞进行评估的代理程序，即一个基于Java 的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看HTTP/HTTPS，从而改变cookies和表单字段等项目。它包括一个Web 通信记录程序，Web 圈套程序(spider)，hash 计算器，还有一个可以测试常见的Web应用程序攻击的扫描器。

       7、Burpsuite

       一个可以用于攻击Web 应用程序的集成平台。Burp 套件允许一个攻击者将人工的和自动的 技术结合起来，以列举、分析、攻击Web 应用程序，或利用这些程序的漏洞。各种各样的burp 工具协同工作，共享信息，并允许将一种工具发现的漏洞形成另外一种工具的基础。

       8、 Wikto

       一个Web 服务器评估工具，它可以检查Web 服务器中的漏洞，并提供与Nikto 一样的很多功能，但增加了许多有趣的功能部分，如后端miner 和紧密的Google 集成。它为MS.NET 环境编写，但用户需要注册才能下载其二进制文件和源代码。

       9、 Watchfire AppScan

       一款商业类的Web 漏洞扫描程序。AppScan 在应用程序的整个开发周期都提供安全测试， 从而测试简化了部件测试和开发早期的安全保证。它可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP 响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等等。

       、N-Stealth

       N-Stealth 是一款商业级的Web 服务器安全扫描程序。它比一些免费的Web 扫描程序，如 Whisker/libwhisker、Nikto 等的升级频率更高。还要注意，实际上所有通用的源码注入VA 工具， 如Nessus, ISS Internet Scanner, Retina, SAINT, Sara 等都包含Web 扫描部件。N-Stealth 主要为Windows 平台提供扫描，但并不提供源代码。

       另外，以下一些测试工具也是很不错的，可以了解以下。

       Ettercap：功能完备的跨平台的局域网渗透攻击工具；

       Cisco Packet Tracert：思科官方出品的傻瓜式模拟器；

       GNS3：思科网络与安全模拟器，能模拟防火墙、入侵检测、***等技术；

       Hping3：强大的TCP/IP数据包生成工具，可用于防火墙测试和安全审计；

       eNSP：华为官方出品的网络/安全模拟器，支持USG防火墙产品；

       Cain Windows：下最强大的局域网攻击与揭密工具；

       Vmware：操作系统虚拟环境平台，制作虚拟机用来做安全测试；

       Visio：最好用的绘图软件，微软出品，支持各种网络拓扑图、流程图等；

       Wireshark：最好用的抓包软件，全球开源网络安全工具Top1；

       Namp：最强悍的端口扫描器，可基于扫描脚本引擎安全扫描漏洞；

       SecureCRT与Xshell一样，都是最常用的终端登录和命令操作软件。

最佳的个网络安全工具

       在这个纷繁复杂的网络世界中，为了保护你的系统和数据安全，拥有一套强大而可靠的网络安全工具显得尤为重要。以下是一些最佳的个网络安全工具，它们涵盖了风险评估、协议检测、入侵防护，以及网络审计等多个方面，确保你的网络防线坚固如铁。

       **1. Nessus** - 作为开源的风险评估工具，Nessus在Linux/BSD/Unix平台上支持远程安全扫描，能够生成详尽的报告并提供改进建议，是安全检查的得力助手。

       **2. Tenable** - 这家公司专注于网络安全暴露管理，提供全面的解决方案，帮助企业实时监控网络安全状况。

       **3. Ethereal** - 这款网络协议检测工具，开源且跨Unix/Windows平台，交互式数据包分析能力强大，对网络通信有深入洞察。

       **4. Snort** - 作为入侵检测系统，Snort以开源著称，能对IP网络进行深入分析和协议/内容检测，防止潜在威胁。

       **5. Netcat** - 作为基础的startbbs源码网络工具，Netcat支持TCP/UDP连接，是网络调试和探测的必备工具。

       **6. TCPDump/WinDump** - 作为网络监测和数据收集工具，它们在命令行中表现出色，跨平台适应力强。

       **7. Hping2** - 这个网络探测工具支持多种协议包发送，还具备traceroute功能，让你轻松测试网络连接。

       **8. DSniff** - 用于网络审计和渗透测试，能够监视和分析网络数据，提供深入的网络安全洞察。

       **9. SSHmitm, webmitm** - 以及商业工具如GFI LANguard、Ettercap和Whisker/Libwhisker，它们在数据交换和MITM攻击防范中扮演重要角色。

       **. SSH, OpenSSH** - 开源和商业的SSH/SSH协议保证了远程登录的安全，而Sam Spade和ISS Internet Scanner则在应用层风险评估中提供支持。

       **. Tripwire** - 这个开源工具提供数据完整性监控，商业版本则在Linux上更胜一筹，是Nessus的替代品。

       **. Linux/BSD/Unix/Windows平台** - 你的选择范围广泛，适应不同操作系统。

       **. Nikto** - 开源的web安全扫描工具，有助于检测潜在的漏洞。

       **. Kismet** - 无线嗅探工具，针对Wi-Fi和蓝牙设备，商业版本功能更全面。

       **. SuperScan** - 作为Windows上的免费端口扫描器，McAfee提供强大的防护。

       **. L0phtCrack** - 这款口令审计工具在破解口令方面独具优势。

       **. Retina** - 商业风险评估工具BeyondTrust，提供深度的安全评估。

       **. Netfilter** - Linux内核防火墙iptables，状态检测和NAT功能强大。

       **. traceroute/ping/telnet/whois** - 基础命令，跨平台且实用。

       **. Fport** - Windows上的增强netstat，专为Windows设计。

       **. SAINT** - 商业风险评估工具，曾开源，适用于UNIX类平台。

       **. Network Stumbler** - 无线接入点搜索工具，Windows版本，Kismet在UNIX上更受欢迎。

       **. SARA** - SATAN的gmtool源码衍生工具，开源，支持Linux/BSD/Unix。

       **. N-Stealth** - 商业Web扫描工具，Windows专属，源代码不公开。

       **. AirSnort** - 无线WEP密码破解工具，多平台可用。

       **. NBTScan** - 收集Windows网络信息的工具，开源，跨平台。

       **. GnuPG/PGP** - 加密库，开源/商业，适用于所有主要平台。

       **. OpenSSL** - 用于SSL/TLS加密的开源库，广泛支持。

       **. NTop** - 显示网络流量的开源工具，适合监控网络使用情况。

       **. Nemesis** - 命令行工具，用于测试网络设备，Linux专用。

       **. LSOF** - Unix的诊断工具，列出系统打开的文件，开源。

       **. Hunt** - Linux上的高级包嗅探工具，用于会话劫持。

       **. Honeyd** - 个人 honeynet 实验平台，提供虚拟主机模拟，开源。

       **. Achilles** - 代理服务器测试工具，开源，Windows可用。

       **. Brutus** - 网络认证破解工具，字典攻击支持，免费下载（Windows）。

       **. Stunnel** - 多用途SSL加密外壳，开源，跨平台。

       **. Paketto Keiretsu** - TCP/IP工具集合，开源，功能丰富。

       **. Fragroute** - 损坏IDS工具，开源，支持多种平台。

       **. SPIKE Proxy** - 用于web安全检测的开源HTTP代理。

       **. THC-Hydra** - 网络认证破解工具，开源，适合多种平台。

       **. Nessus功能的补充** - 包括OpenBSD、TCP Wrappers、pwdump3等工具，涵盖了更多安全细节。

       通过这些工具，你可以全面地保护你的网络环境，确保安全无虞。每个工具都有其独特的优势，可根据你的具体需求来选择和部署。记住，安全永远是网络世界中的首要任务。

路由器漏洞检测工具有哪些

       如果路由器存在漏洞势必会危害自己的个人信息，那么我们该如何检测路由器漏洞呢?路由器漏洞检测工具有哪些?下面请大家跟随小编的脚步来倍领安全网寻找答案吧。

       路由器漏洞检测工具有哪些?小编总结如下：

       1、Java自动化SQL注入测试工具jSQL，jSQL是一款轻量级安全测试工具，可以检测SQL注入漏洞。它跨平台(Windows, Linux, Mac OS X, Solaris)、开源且免费。

       2、漏洞评估系统OpenVAS，OpenVAS是开放式漏洞评估系统，也可以说它是一个包含着相关工具的网络扫描器。其核心部件是一个服务器，包括一套网络漏洞测试程序，可以检测远程系统和应用程序中的安全问题。

       3、漏洞检测工具cvechecker，cvechecker 将检查你的系统和已安装的软件，并报告可能存在的漏洞。通过匹配 CVE 数据库。

       4、Web安全测试平台Vega Platform，Vega是一个开放源代码的web应用程序安全测试平台，Vega能够帮助你验证SQL注入、跨站脚本(XSS)、敏感信息泄露和其它一些安全漏洞。

       5、路由器漏洞检测及利用框架RouterSploit，RouteSploit框架是一款开源的漏洞检测及利用框架，其针对的对象主要为路由器等嵌入式设备。

       6、漏洞扫描工具Nikto，Nikto是一款开放源代码的、功能强大的WEB扫描评估软件，它可以扫描指定主机的WEB类型、主机名、特定目录、COOKIE、特定CGI漏洞、返回主机允许的 ix: 通过全面的Web应用漏洞扫描，提供详细的漏洞报告和修复建议。

       8. Qualys SSL Labs: 专门针对SSL/TLS协议安全性的测试，有助于评估网站安全性。

       9. SSL Checker: 用于检测网站SSL证书的状态和有效性，确保安全通信。

       . XSS-Attacker: 专为检测跨站脚本攻击设计，通过插件可快速识别潜在漏洞。

       . Web Vulnerability Scanner: 对网站进行全面的安全扫描，发现并报告漏洞。

       . HTML Tidy: 清理和修复HTML代码，确保网站内容正常显示。

       . Browser Extension Debugger: 用于调试浏览器扩展，解决兼容性和性能问题。

       以上插件各有特色，适应不同的渗透测试场景和需求。在实际操作中，根据具体任务选择合适的工具，能够显著提高测试效率与质量。

十大Web网站漏洞扫描程序工具

       网络发展至今，我们已经见识到了它的强大，但网络安全始终是一个重要的话题。如何建立一个安全的Web环境是我们需要考虑的问题。选择合适的安全工具是关键。在危险发生之前，我们可以通过测试来发现系统中的漏洞。以下是大Web漏洞扫描程序：

       1. Nikto

       这是一个开源的Web服务器扫描程序，它可以对Web服务器的多种项目进行全面的测试。其扫描项目和插件会定期更新，并且可以自动更新。Nikto能在短时间内测试Web服务器，并在日志文件中清晰地记录结果。它还支持LibWhisker的反IDS方法，但并非每次检查都能发现安全问题。有些项目只是提供信息类型的检查，这可以找出一些不存在安全漏洞的项目，但Web管理员或安全工程师可能并不知道。

       2. Paros proxy

       这是一个用于评估Web应用程序漏洞的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看HTTP/HTTPS，从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序，hash计算器，以及一个可以测试常见Web应用程序攻击的扫描器。

       3. WebScarab

       它可以分析使用HTTP和HTTPS协议进行通信的应用程序。WebScarab可以记录观察到的会话，并允许操作人员以各种方式观察会话。如果你需要观察一个基于HTTP(S)应用程序的运行状态，WebScarab就可以满足你的需求。无论是帮助开发人员调试其他方面的难题，还是允许安全专业人士识别漏洞，它都是一款不错的工具。

       4. WebInspect

       这是一款强大的Web应用程序扫描程序。SPI Dynamics的这款应用程序安全评估工具有助于确认Web应用中已知的和未知的漏洞。它还可以检查Web服务器是否正确配置，并尝试常见的Web攻击，如参数注入、跨站脚本、目录遍历攻击等。

       5. Whisker/libwhisker

       Libwhisker是一个Perl模块，适合于HTTP测试。它可以测试许多已知的安全漏洞，测试HTTP服务器，特别是检测危险CGI的存在。Whisker是一个使用libwhisker的扫描程序。

       6. Burpsuite

       这是一个可以用于攻击Web应用程序的集成平台。Burp套件允许攻击者将人工和自动技术结合，以列举、分析、攻击Web应用程序，或利用这些程序的漏洞。各种各样的burp工具协同工作，共享信息，并允许将一种工具发现的漏洞形成另外一种工具的基础。

       7. Wikto

       可以说这是一个Web服务器评估工具，它可以检查Web服务器中的漏洞，并提供与Nikto一样的许多功能，但增加了许多有趣的功能，如后端miner和紧密的Google集成。它为MS.NET环境编写，但用户需要注册才能下载其二进制文件和源代码。

       8. Acunetix Web Vulnerability Scanner

       这是一款商业级的Web漏洞扫描程序，它可以检查Web应用程序中的漏洞，如SQL注入、跨站脚本攻击、身份验证页上的弱口令长度等。它拥有一个操作方便的图形用户界面，并且能够创建专业级的Web站点安全审核报告。

       9. Watchfire AppScan

       这也是一款商业级的Web漏洞扫描程序。AppScan在应用程序的整个开发周期提供安全测试，从而简化部件测试和开发早期的安全保证。它可以扫描许多常见的漏洞，如跨站脚本攻击、HTTP响应拆分漏洞、参数篡改、隐式字段处理、后门/调试选项、缓冲区溢出等。

       . N-Stealth

       N-Stealth是一款商业级的Web服务器安全扫描程序。它比一些免费的Web扫描程序，如Whisker/libwhisker、Nikto等的升级频率更高。它主要为Windows平台提供扫描，但并不提供源代码。

       此外，还有其他通用的VA工具，如Nessus, ISS Internet Scanner, Retina, SAINT, Sara等，它们也都包含Web扫描部分。

Web安全测试图书目录

       序

       前言

       第1章 绪论

       什么是安全测试

       什么是Web应用

       Web应用基础

       Web应用安全测试

       方法才是重点

       第2章 安装免费工具

       安装Firefox

       安装Firefox扩展

       安装Firebug

       安装OWASP的WebScarab

       在Windows上安装Perl及其软件包

       在Linux, Unix或OS X上安装Perl和使用CPAN

       安装CAL

       安装ViewState Decoder

       安装cURL

       安装Pornzilla

       安装Cygwin

       安装Nikto 2

       安装Burp Suite

       安装Apache HTTP Server

       第3章 基本观察

       查看网页的HTML源代码

       查看源代码，高级功能

       使用Firebug观察实时的请求头

       使用WebScarab观察实时的POST数据

       查看隐藏表单域

       使用TamperData观察实时的响应头

       高亮显示JavaScript和注释

       检测JavaScript事件

       修改特定的元素属性

       动态跟踪元素属性

       第4章 面向Web的数据编码

       辨别二进制数据表示

       使用Base-

       在网页中转换Base-数字

       在Perl中使用Base-

       使用以URL方式编码的数据

       使用HTML实体数据

       计算散列值

       辨别时间格式

       以编程方式对时间值进行编码

       解码多重编码

       第5章 篡改输入

       截获和修改POST请求

       绕过输入限制

       篡改URL

       自动篡改URL

       测试对URL长度的处理

       编辑Cookie

       伪造浏览器头信息

       上传带有恶意文件名的文件

       上传大文件

       上传恶意XML实体文件

       上传恶意XML结构

       上传恶意ZIP文件

       上传样例病毒文件

       绕过用户界面的限制

       第6章 自动化批量扫描

       使用WebScarab爬行网站

       将爬行结果转换为清单

       减少要测试的URL

       使用电子表格程序来精简列表

       使用LWP对网站做镜像

       使用wget对网站做镜像

       使用wget对特定的清单做镜像

       使用Nikto扫描网站

       理解Nikto的输出结果

       使用Nikto扫描HTTPS站点

       使用带身份验证的Nikto

       在特定起始点启动Nikto

       在Nikto中使用特定的会话Cookie

       使用WSFuzzer测试Web服务

       理解WSFuzzer的输出结果

       第7章 使用cURL实现特定任务的自动化

       使用cURL获取页面

       获取URL的许多变体

       自动跟踪重定向

       使用cURL检查跨站式脚本

       使用cURL检查目录遍历

       冒充特定类型的网页浏览器或设备

       以交互方式冒充另一种设备

       使用cURL模仿搜索引擎

       通过假造Referer头信息来伪造工作流程

       仅获取HTTP头

       使用cURL发送POST请求

       保持会话状态

       操纵Cookie

       使用cURL上传文件

       建立多级测试用例

       第8章 使用LibWWWPerl实现自动化

       编写简单的Perl脚本来获取页面

       以编程方式更改参数

       使用POST模仿表单输入

       捕获和保存Cookie

       检查会话过期

       测试会话固定

       发送恶意Cookie值

       上传恶意文件内容

       上传带有恶意名称的文件

       上传病毒到应用

       使用Perl解析接收到的值

       以编程方式来编辑页面

       使用线程化提高性能

       第9章 查找设计缺陷

       绕过必需的导航

       尝试特权操作

       滥用密码恢复

       滥用可预测的标识符

       预测凭证

       找出应用中的随机数

       测试随机数

       滥用可重复性

       滥用高负载操作

       滥用限制性的功能

       滥用竞争条件

       第章 攻击AJAX

       观察实时的AJAX请求

       识别应用中的JavaScript

       从AJAX活动回溯到源代码

       截获和修改AJAX请求

       截获和修改服务器响应

       使用注入数据破坏AJAX

       使用注入XML破坏AJAX

       使用注入JSON破坏AJAX

       破坏客户端状态

       检查跨域访问

       通过JSON劫持来读取私有数据

       第章 操纵会话

       在Cookie中查找会话标识符

       在请求中查找会话标识符

       查找Authentication头

       分析会话ID过期

       使用Burp分析会话标识符

       使用WebScarab分析会话随机性

       更改会话以逃避限制

       假扮其他用户

       固定会话

       测试跨站请求伪造

       第章 多层面的测试

       使用XSS窃取Cookie

       使用XSS创建覆盖

       使用XSS产生HTTP请求

       以交互方式尝试基于DOM的XSS

       绕过字段长度限制（XSS）

       以交互方式尝试跨站式跟踪

       修改Host头

       暴力猜测用户名和密码

       以交互方式尝试PHP包含文件注入

       制作解压缩炸弹

       以交互方式尝试命令注入

       系统地尝试命令注入

       以交互方式尝试XPath注入

       以交互方式尝试服务器端包含（SSI）注入

       系统地尝试服务器端包含（SSI）注入

       以交互方式尝试LDAP注入

       以交互方式尝试日志注入

扩展资料

       在你对Web应用所执行的测试中，安全测试可能是最重要的，但它却常常是最容易被忽略的。《Web安全测试》中的秘诀演示了开发和测试人员在进行单元测试、回归测试或探索性测试的同时，如何去检查最常见的Web安全问题。与即兴的安全评估不同的是，这些秘诀是可重复的、简洁的、系统的——可以完美地集成到你的常规测试套装中。因此，本书对开发人员和测试人员具有重要的指导价值。

开源免费的Web安全漏洞扫描工具

       Web安全漏洞扫描技术是自动化检测Web应用潜在风险的关键工具，它模拟黑客行为，检测Sql注入、XSS、文件上传、目录遍历等常见漏洞，以及代码注入、泄漏、跨站脚本等问题。这类工具通过检查源代码、配置和网络协议，揭示可能的安全隐患，帮助企业和组织提升系统安全性，制定安全策略。

       市场上有众多免费且开源的工具可供选择。例如，Angry IP Scanner，跨平台轻量级，用于扫描IP地址和端口，包含多种信息检测功能；Arachni是一个高性能的Web应用漏洞扫描器，能识别SQL注入、XSS等，适用于现代应用，开源且支持多种操作系统；Burp Suite，攻击Web应用的集成平台，包含多个协同工作的工具，支持插件扩展；Dependency-Check则专注于识别项目依赖漏洞，适用于多种编程语言的项目。

       Kscan是一款全方位的扫描器，纯Go开发，功能丰富；Masscan是高速扫描网络的工具，能快速扫描大量IP和端口；Nikto是专门的Web服务器扫描器，检测危险文件和过时软件；SQLMap用于自动查找SQL注入漏洞，支持多种数据库；Scaninfo和SiteScan则提供更为全面的扫描和报告功能；Skipfish是Google的Web安全侦察工具，高效扫描并生成报告；W3af和Wfuzz则是强大的Web应用渗透测试框架，各有侧重；ZAP和Nmap则主要关注网络端口扫描和漏洞检测；Zenmap则为Nmap提供了图形化的用户界面，简化了操作。

       这些工具各有特色，用户可以根据具体需求和系统环境选择适合的Web安全漏洞扫描工具，以提升网络和应用的安全防护水平。