您使用什么工具对Web应用程序进行安全测试?[关闭]

尝试使用fiddler proxy代替webscarab( http://www.fiddlertool.com )更舒适。

除此之外,“安全测试”是一个非常广泛的术语。
至少,你有:

• 渗透测试-我使用AppScan,还有很多其他的。
• 源代码审查/静态分析-Fortify被认为是最好的,我爱上了CheckMarx(但它需要一个安全人员)。有关您的特定技术/语言的更多信息将有助于为您提供更有针对性的答案。
• 还有其他类型的“安全测试”,但我不熟悉这些类型的其他自动工具。
• 根据最后一点,以及前两种类型(pt/cr)的更高级测试,专家的手动测试确实是最好的(如果不是最划算的话)。

HP有一个应用程序可以测试SQL注入,称为scrawlr。

Scrawlr

Fortify为我们做得很好。

http://www.fortify.com/

我在一家公司工作,这家公司将Web应用程序渗透测试作为IT业务的一部分。我们使用许多不同的工具。有些是Ruby中针对特定项目的一次性工具,或者是内部开发的框架或代理(又称Ruby)。我们的大部分Web应用程序渗透测试都是使用Webscarab、Burpsuite或Paros代理完成的。它们都具有某种日志记录功能、相当大的功率和一两个缺点。

我发现webscarab是最容易使用的。但是,它不处理视图状态,也不做很多搜索工作。实际上,我们在viewstate中发现了不应该存在的数据,所以每当我们看到它们时,我们都倾向于切换到另一个代理。Burpsuite是我的下一个选择。它确实处理viewstate,但是界面需要大量的时间来适应它,并且它的输出在技术上更完整——它保持了原始的和修改过的请求/响应——更难使用。

不幸的是,你的问题的答案比一个好的代理人要稍微复杂一些。不仅仅是拿起一个代理或扫描仪让它们运行。一个人必须验证工具所发现的任何东西,而且除了一个人之外,其他任何东西都找不到。

TQBF对此有很好的解释 here .

我用 Nikto .

尼克托人 是一个开源(GPL)Web服务器扫描器,它针对多个项目对Web服务器进行全面测试,包括3500多个潜在危险文件/CGI、900多台服务器上的版本以及250多台服务器上的版本特定问题。扫描项和插件经常更新,可以自动更新(如果需要)。

Nikto并不是设计成一种过于隐蔽的工具。它将在尽可能短的时间跨度内测试Web服务器,并且在日志文件中非常明显。但是,如果您想尝试一下(或者测试一下您的IDS系统),可以支持libwither的反IDS方法。

这个 列表 也有助于: Top 10 Web Vulnerability Scanners

这些都是用于笔测试的Web应用程序

1. curl-用于探索的命令行工具
2. Nikto/Wikto-Vulns扫描仪
3. w3af-听说了好事情,但没怎么尝试过。
4. sqlmap -自动SQL注入
5. WebDeveloper和Firebug-火狐扩展
6. 斜纹布和硒与您自己的测试案例 http://ha.ckers.org/xss.html

我建议使用手动检查和简单的字符串搜索工具,如findstr。 以下是ASP.NET的大量手动安全检查资源: http://msdn.microsoft.com/en-us/library/ms998364.aspx 或者您可以直接跳到安全问题,这些问题指导您找到安全漏洞: http://msdn.microsoft.com/en-us/library/ms998375.aspx 我在这里总结了字符串搜索技术: http://blogs.msdn.com/ace_team/archive/2008/07/24/security-code-review-string-search-patterns-for-finding-vulnerabilities-in-asp-net-web-application.aspx

您可以使用Paros或NetsParker进行安全测试。以下URL有助于找到一些安全测试工具:

http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/