开源web漏洞扫描工具集合
*参考来源:geekflare,FB小编柚子编译,转载请注明来自FreeBuf.COM
赛门铁克2017年互联网安全威胁报告中提出在他们今年扫描的网站中,有76%都含有恶意软件。如果你在用WordPress,SUCURI的另一份报告也显示,超过70%的被扫描网站也都存在一个或多个漏洞。
如果你刚好是某个网络应用程序的所有者,怎样才能保证你的网站是安全的、不会泄露敏感信息?
如果是基于云的安全解决方案,那么可能只需要进行常规漏扫。但如果不是,我们就必须执行例行扫描,采取必要的行动降低安全风险。
当然很多付费扫描器功能会更加全面、严谨,包含报表输出、警报、详细的应急指南等等附加功能。
开源工具最大的缺点是漏洞库可能没有付费软件那么全面。
1. Arachni
Arachni是一款基于Ruby框架搭建的高性能安全扫描程序,适用于现代Web应用程序。可用于Mac、Windows及Linux系统的可移植二进制文件。
Arachni不仅能对基本的静态或CMS网站进行扫描,还能够做到对以下平台指纹信息((硬盘序列号和网卡物理地址))的识别。且同时支持主动检查和被动检查。
Windows、Solaris、Linux、BSD、Unix
Nginx、Apache、Tomcat、IIS、Jetty
Java、Ruby、Python、ASP、PHP
Django、Rails、CherryPy、CakePHP、ASP.NET MVC、Symfony
一般检测的漏洞类型包括:
NoSQL/Blind/SQL/Code/LDAP/Command/XPath注入
跨站请求伪造
路径遍历
本地/远程文件包含
Response splitting
跨站脚本
未验证的DOM重定向
源代码披露
另外,你可以选择输出HTML、XML、Text、JSON、YAML等格式的审计报告。
Arachni帮助我们以插件的形式将扫描范围扩展到更深层的级别。Arachni的详细介绍与下载地址:click here。
2. XssPy
一个有力的事实是,微软、斯坦福、摩托罗拉、Informatica等很多大型企业机构都在用这款基于python的XSS(跨站脚本)漏洞扫描器。它的编写者Faizan Ahmad才华出众,XssPy是一个非常智能的工具,不仅能检查主页或给定页面,还能够检查网站上的所有链接以及子域。因此,XssPy的扫描非常细致且范围广泛。
下载地址:click here。
3. w3af
w3af是一个从2006年年底开始的基于Python的开源项目,可用于Linux和Windows系统。w3af能够检测200多个漏洞,包括OWASP top 10中提到的。
w3af能够帮你将payload注入header、URL、cookies、字符串查询、post-data等,利用Web应用程序进行审计,且支持各种记录方法完成报告,例如:
CSV
HTML
Console
Text
XML
这个程序建立在一个插件架构上,所有可用插件地址:click here。
w3af下载地址:click here。
4. Nikto
相信很多人对Nikto并不陌生,这是由Netsparker(专做web安全扫描器企业,总部坐标英国)赞助的开源项目,旨在发现Web服务器配置错误、插件和Web漏洞。Nikto对6500多个风险项目进行过综合测试。支持HTTP代理、SSL或NTLM身份验证等,还能确定每个目标扫描的最大执行时间。
Nikto也适用于Kali Linux。
Nikto在企业内部网络解决方案中查找web服务器安全风险的应用前景非常广阔。
下载地址:click here。
5. Wfuzz
Wfuzz(Web Fuzzer)也是渗透中会用到的应用程序评估工具。它可以对任何字段的HTTP请求中的数据进行模糊处理,对Web应用程序进行审查。
Wfuzz需要在被扫描的计算机上安装Python。具体的使用指南可参见这个:链接。
Wfuzz下载地址:click here。
6. OWASP ZAP
ZAP(Zet Attack Proxy)是全球数百名志愿者程序员在积极更新维护的著名渗透测试工具之一。它是一款跨平台的Java工具,甚至都可以在Raspberry Pi上运行。ZAP在浏览器和Web应用程序之间拦截和检查消息。
ZAP值得一提的优良功能:
Fuzzer
自动与被动扫描
支持多种脚本语言
Forced browsing(强制浏览)
下载地址:click here。
7. Wapiti
Wapiti扫描特定的目标网页,寻找能够注入数据的脚本和表单,从而验证其中是否存在漏洞。它不是对源代码的安全检查,而是执行黑盒扫描。
支持GET和POST HTTP请求方式、HTTP和HTTPS代理以及多个认证等。
下载地址:click here。
8. Vega
Vega由Subgraph开发,Subgraph是一个用Java编写的多平台支持工具,用于查找XSS,SQLi、RFI和很多其它的漏洞。
Vega的图形用户界面相对来说比较美观。它可以通过特定的凭证登录某个应用后执行自动扫描。
如果你懂开发,还可以利用vega API创建新的攻击模块。
下载地址:click here。
9. SQLmap
顾名思义,我们可以借助sqlmap对数据库进行渗透测试和漏洞查找。
支持所有操作系统上的Python 2.6或2.7。如果你正在查找SQL注入和数据库漏洞利用,sqlmap是一个好助手。
下载地址:click here。
10. Grabber
这也是一个做得不错的Python小工具。这里列举一些特色功能:
JavaScript源代码分析器
跨站点脚本、SQL注入、SQL盲注
利用PHP-SAT的PHP应用程序测试
下载地址:click here。
11. Golismero
这是一个管理和运行Wfuzz、DNS recon、sqlmap、OpenVas、机器人分析器等一些流行安全工具的框架。
Golismero非常智能,能够整合其它工具的测试反馈,输出一个统一的结果。
下载地址:click here。
12. OWASP Xenotix XSS
OWASP的Xenotix XSS是一个用于查找和利用跨站点脚本的高级框架,内置了三个智能模糊器,用于快速扫描和结果优化。
这款工具有上百个功能,详细的功能列表与下载地址:click here。
网络安全对于在线业务至关重要,希望上面这些免费的漏扫程序能够帮助各位读者及时发现风险,在被恶意人员利用之前即完成漏洞修复。
开源web漏洞扫描工具集合相关推荐
- arachni web mysql数据库_开源Web漏洞扫描工具–Arachni(转载)
作者:{SJW}@ArkTeam Arachni是一个开源的,全面的.模块化的Web漏洞扫描框架,它能够帮助渗透人员和网络管理人员测试Web应用的安全性. 一.功能介绍 Arachni能适用于多平台和 ...
- 开源Web漏洞扫描工具–Arachni
下载地址: 官网地址:http://www.arachni-scanner.com/ Arachni是一个包含很多特性.模块化的.高性能的Ruby框架,目的是帮助渗透测试人员和管理者评估现代web应用 ...
- Web漏洞扫描工具(批量脱壳、反序列化、CMS)
一.什么是Web漏洞扫描工具 即是指"扫描Web应用以查找安全漏洞(如跨站脚本,SQL注入,命令执行,目录遍历和不安全服务器配置)的自动化工具",其中许多可能是由不安全或不正确的编 ...
- 【安全工具】全!十大Web漏洞扫描工具
十大Web漏洞扫描工具 Acunetix Web Vulnerability Scanner[( 简称AwVS ) AwVS是一款知名的Web网络漏洞扫描工具,它通过网络爬虫测试你的网站安全,检测流行 ...
- Web 漏洞扫描工具 AppScan 和 AWVS 使用方式
Web 漏洞扫描工具 AppScan 和 AWVS 使用方式 文章目录 Web 漏洞扫描工具 AppScan 和 AWVS 使用方式 0x01 AppScan 基本操作 1.AppScan 简介 1. ...
- python 漏洞扫描_Python脚本实现Web漏洞扫描工具
这是去年毕设做的一个Web漏洞扫描小工具,主要针对简单的SQL注入漏洞.SQL盲注和XSS漏洞,代码是看过github外国大神(听说是SMAP的编写者之一)的两个小工具源码,根据里面的思路自己写的.以 ...
- win10下web漏洞扫描工具:AWVS安装教程
01 AWVS安装 windows上安装其实很简单,以安装AWVS12版本为例子,具体步骤如下: 01 双击exe安装: 02 点击"Next": 03 选择我同意: 04 设置用 ...
- 渗透测试常用WEB安全漏洞扫描工具集合
渗透测试阶段信息收集完成后,需根据所收集的信息,扫描目标站点可能存在的漏洞,包括SQL注入漏洞.跨站脚本漏洞.文件上传漏洞.文件包含漏洞及命令执行漏洞等,然后通过这些已知的漏洞,寻找目标站点存在攻击的 ...
- 10大Web漏洞扫描工具
Web scan tool 推荐10大Web漏洞扫描程序 Nikto 这是一个开源的Web服务器扫描程序,它可以对Web服务器的多种项目(包括3500个潜在的危险文件/CGI,以及超过900个服务器版 ...
最新文章
- KD树是什么? 为什么要用KD树? KD树怎么用? KD树和KNN的关联是什么?
- 揭秘 | 连续3年支撑双11,阿里云神龙如何扛住全球流量洪峰?
- 从情报分析的高度来看APT***
- 合格的前端不少,优秀的不多
- Linux bunzip2命令:bz2格式的解压缩命令
- asp.net httprequest httpresponse
- mac install brew
- Ipython Notebook ipynb文件转化为Python脚本
- Java简单输出,输出Hello World,将代码上传到Github
- golang微信小程序爬虫教程offer秀
- excel 公式快速填充下拉方法(WPS表格)
- 全志和瑞芯微比较_哪家强_华为海思/全志/瑞芯微终极PK 智能芯片哪家强?
- python中文乱码问题大总结
- PDF文件如何旋转后保存
- 针对安卓APP的 OCR图片识别技术研究与 DEMO
- 【JIRA 学习】JIRA 配置缺陷的reopen 次数
- 使用硬盘空间少的linux系统,linux磁盘空间不足的解决办法
- verilog自学笔记
- linux下tree指令的用法
- C++ 函数- cout
热门文章
- float和double取值范围
- [量化-031]金融哲学-道德经解读-002-道德经解读原则
- android 图片重影叠加左右切换效果
- 唐都 计算机组成原理软件cm3,计算机专业实验室的特色建设.doc
- 项目计划是实现项目目标的必要手段
- 推荐系统理论知识和基本思路
- HashMap底层红黑树原理(超详细图解)+手写红黑树代码
- 基于springboot+vue仓库管理系统(程序+数据库)
- Android 这些基础知识,你知多少?
- D49.1.0 对gluLookAt,gluPerspective和glOrtho的理解(完善篇)