Web安全测试常用工具

Web安全测试常用工具

【说明】以下汇总整理来自《Web安全测试》第二章 安装免费工具。

序号	工具名称	工具说明	运行环境要求	下载地址
1	Firefox浏览器	Firefox浏览器具有可扩展的附加组件架构，是可用于web应用安全测试的最佳浏览器。	Windows、linux均可	http://firefox.com.cn/
2	Firefox扩展	Firefox扩展提供了大量附加功能，推荐以下扩展：View SourceChart、	Windows、linux均可	View SourceChart： https://addons.mozilla.org/en-US/firefox/addon/view-source-chart/ Firebug： http://getfirebug.com/ Tamper Data： https://addons.mozilla.org/en-US/firefox/addon/966 Edit Cookies： https://addons.mozilla.org/en-US/firefox/addon/4510 User Agent Switcher： https://addons.mozilla.org/en-US/firefox/addon/59
3	Firebug	Firebug是Web开发和测试工具中的“瑞士军刀”，它允许跟踪和调整每一行HTML、javascript和文档对象模型；它会告诉后台ajax请求，告诉你载入页面需要的时间，并允许你实时编辑的网页，它唯一无法完成的事情就是将你要更改的内容保存至服务器。	需要安装firefox浏览器	http://getfirebug.com/
4	WebScarab	WebScarab是用于测试web应用安全的一款流行的web代理，web代理对于截获浏览器服务器之间的请求和响应来说是非常重要的。	Java运行环境	https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project
5	Windows下Perl	Perl被认为是编程语言的胶带，它可能不优美，但它的确能快速完成工作，非常有助于安全测试用例的自动化。	Windows下安装和Unix上安装有所不同；推荐将perl作为Cygwin环境的一部分进行安装	http://www.perl.org/get.html
6	Linux、Unix或OS X下Perl	Perl被认为是编程语言的胶带，它可能不优美，但它的确能快速完成工作，非常有助于安全测试用例的自动化。	Windows或linux、unix均可。大多数非windows操作系统都自带安装好的perl。	http://www.cpan.org/ports
7	CAL9000	CAL9000工具将许多安全工具集成在一个软件包中，它是典型的黑客工具，包含了大量应用技巧。	CAL9000主要以JavaScript编写，直接在Firefox中运行。可以在任何带有浏览器的机器上本地运行-无需设定代理、无需安装、而且只需很少的访问权限。	SVN检出地址： http://owasp-code-central.googlecode.com/svn/trunk/labs/cal9000/
8	ViewState Decoder	用于检查使用ASP.NET编写的web应用，每个页面中包含一个叫做ViewState的隐藏变量，该变量中是否包含了过多不必要或不合适的信息（如数据库连接、调试信息等）	Windows环境	http://sourceforge.net/projects/viewstate/
9	cURL	cURL工具是一个命令行程序，它支持许多web协议和组件。它可以再没有浏览器的时候当做浏览器使用，实现了类似浏览器的功能，但是可以从任何普通shell中调用它，它处理cookie、认证和web协议的能力要比任何其他命令行工具都更好。		安装程序下载地址：http://curl.haxx.se/download.html 简明教程下载地址：http://curl.haxx.se/docs/httpscripting.html
10	Pornzilla	Pornzilla是一套有用的FireFox小书签和扩展，它提供了大量方便的、有助于web应用安全测试的工具。如RefSpoof修改HTTP Referer信息，或许能绕过不安全的登录机制；Digger是一个目录遍历工具；Spiderzilla是网站爬虫工具；Increment和Decrement篡改URL参数。	需要安装Firefox	http://www.squarefree.com/pornzilla/
11	Cygwin	Cygwin是你能够在windows中使用Linux环境，它可以用于运行所有为Linux构建的程序和脚本，而且不需要安装完整的Linux。		http://www.cygwin.com
12	Nikto 2	Web漏洞扫描工具，通过配置用来以最少的手段操作检测各种各样的问题。	需要在Cygwin或其它类Unix环境中运行Nikto，使用命令：perl nikto.pl –h 192.168.0.1 。	http://cirt.net/nikto2
13	Burp Suite	Web应用安全工具，包含了用户截获、重复、分析或注入web应用请求的组件。	需要java运行环境支持	http://portswigger.net/suite/download.html
14	Apache HTTP Server	Apache HTTP Server是一种开源的web服务器，它目前是万维网上最流行的HTTP服务器。	Windows或Linux均可	http://httpd.apache.org/download.cgi