最好用的开源Web漏洞扫描工具梳理

转载 2017年12月09日 00:00:00

0?wx_fmt=gif&wxfrom=5&wx_lazy=1

来自FreeBuf.COM

*参考来源:geekflare,FB小编柚子编译

链接:www.freebuf.com/articles/web/155209.html

赛门铁克2017年互联网安全威胁报告中提出在他们今年扫描的网站中,有76%都含有恶意软件。如果你在用WordPress,SUCURI的另一份报告也显示,超过70%的被扫描网站也都存在一个或多个漏洞。

?wx_fmt=jpeg&wxfrom=5&wx_lazy=1

如果你刚好是某个网络应用程序的所有者,怎样才能保证你的网站是安全的、不会泄露敏感信息?

如果是基于云的安全解决方案,那么可能只需要进行常规漏扫。但如果不是,我们就必须执行例行扫描,采取必要的行动降低安全风险。

当然很多付费扫描器功能会更加全面、严谨,包含报表输出、警报、详细的应急指南等等附加功能。

开源工具最大的缺点是漏洞库可能没有付费软件那么全面。

1. Arachni

Arachni是一款基于Ruby框架搭建的高性能安全扫描程序,适用于现代Web应用程序。可用于Mac、Windows及Linux系统的可移植二进制文件。

?wx_fmt=jpeg

Arachni不仅能对基本的静态或CMS网站进行扫描,还能够做到对以下平台指纹信息((硬盘序列号和网卡物理地址))的识别。且同时支持主动检查和被动检查。

Windows、Solaris、Linux、BSD、Unix

Nginx、Apache、Tomcat、IIS、Jetty

Java、Ruby、Python、ASP、PHP

Django、Rails、CherryPy、CakePHP、ASP.NET MVC、Symfony

一般检测的漏洞类型包括:

NoSQL/Blind/SQL/Code/LDAP/Command/XPath注入

跨站请求伪造

路径遍历

本地/远程文件包含

Response splitting

跨站脚本

未验证的DOM重定向

源代码披露

另外,你可以选择输出HTML、XML、Text、JSON、YAML等格式的审计报告。

Arachni帮助我们以插件的形式将扫描范围扩展到更深层的级别。

2. XssPy

一个有力的事实是,微软、斯坦福、摩托罗拉、Informatica等很多大型企业机构都在用这款基于python的XSS(跨站脚本)漏洞扫描器。它的编写者Faizan Ahmad才华出众,XssPy是一个非常智能的工具,不仅能检查主页或给定页面,还能够检查网站上的所有链接以及子域。因此,XssPy的扫描非常细致且范围广泛。

3. w3af

w3af是一个从2006年年底开始的基于Python的开源项目,可用于Linux和Windows系统。w3af能够检测200多个漏洞,包括OWASP top 10中提到的。

?wx_fmt=jpeg

w3af能够帮你将payload注入header、URL、cookies、字符串查询、post-data等,利用Web应用程序进行审计,且支持各种记录方法完成报告,例如:

CSV

HTML

Console

Text

XML

Email

这个程序建立在一个插件架构上,所有可用插件地址:click here。

4. Nikto

相信很多人对Nikto并不陌生,这是由Netsparker(专做web安全扫描器企业,总部坐标英国)赞助的开源项目,旨在发现Web服务器配置错误、插件和Web漏洞。Nikto对6500多个风险项目进行过综合测试。支持HTTP代理、SSL或NTLM身份验证等,还能确定每个目标扫描的最大执行时间。

Nikto也适用于Kali Linux。

?wx_fmt=jpeg

Nikto在企业内部网络解决方案中查找web服务器安全风险的应用前景非常广阔。

5. Wfuzz

Wfuzz(Web Fuzzer)也是渗透中会用到的应用程序评估工具。它可以对任何字段的HTTP请求中的数据进行模糊处理,对Web应用程序进行审查。

Wfuzz需要在被扫描的计算机上安装Python。具体的使用指南可参见这个:链接。

6. OWASP ZAP

ZAP(Zet Attack Proxy)是全球数百名志愿者程序员在积极更新维护的著名渗透测试工具之一。它是一款跨平台的Java工具,甚至都可以在Raspberry Pi上运行。ZAP在浏览器和Web应用程序之间拦截和检查消息。

?wx_fmt=jpeg

ZAP值得一提的优良功能:

Fuzzer

自动与被动扫描

支持多种脚本语言

Forced browsing(强制浏览)

7. Wapiti

Wapiti扫描特定的目标网页,寻找能够注入数据的脚本和表单,从而验证其中是否存在漏洞。它不是对源代码的安全检查,而是执行黑盒扫描。

?wx_fmt=jpeg

支持GET和POST HTTP请求方式、HTTP和HTTPS代理以及多个认证等。

8. Vega

Vega由Subgraph开发,Subgraph是一个用Java编写的多平台支持工具,用于查找XSS,SQLi、RFI和很多其它的漏洞。

Vega的图形用户界面相对来说比较美观。它可以通过特定的凭证登录某个应用后执行自动扫描。

?wx_fmt=jpeg

如果你懂开发,还可以利用vega API创建新的攻击模块。

9. SQLmap

顾名思义,我们可以借助sqlmap对数据库进行渗透测试和漏洞查找。

?wx_fmt=jpeg

支持所有操作系统上的Python 2.6或2.7。如果你正在查找SQL注入和数据库漏洞利用,sqlmap是一个好助手。

10. Grabber

这也是一个做得不错的Python小工具。这里列举一些特色功能:

JavaScript源代码分析器

跨站点脚本、SQL注入、SQL盲注

利用PHP-SAT的PHP应用程序测试

下载地址:click here。

11. Golismero

这是一个管理和运行Wfuzz、DNS recon、sqlmap、OpenVas、机器人分析器等一些流行安全工具的框架。

?wx_fmt=jpeg

Golismero非常智能,能够整合其它工具的测试反馈,输出一个统一的结果。

12. OWASP Xenotix XSS

OWASP的Xenotix XSS是一个用于查找和利用跨站点脚本的高级框架,内置了三个智能模糊器,用于快速扫描和结果优化。

?wx_fmt=jpeg

这款工具有上百个功能

网络安全对于在线业务至关重要,希望上面这些免费的漏扫程序能够帮助各位读者及时发现风险,在被恶意人员利用之前即完成漏洞修复。

0?wx_fmt=png


WEB渗透测试之三大漏扫神器

通过踩点和查点,已经能确定渗透的目标网站。接下来可以选择使用漏扫工具进行初步的检测,可以极大的提高工作的效率。 功欲善其事必先利其器,下面介绍三款适用于企业级漏洞扫描的软件 1.AWVS AWVS (...
  • pygain
  • pygain
  • 2016-10-04 11:53:56
  • 21708

Web漏洞扫描工具-python

这是去年毕设做的一个Web漏洞扫描小工具,主要针对简单的SQL注入漏洞、SQL盲注和XSS漏洞,代码是看过github外国大神(听说是SMAP的编写者之一)的两个小工具源码,根据里面的思路自己写的。以...
  • u013181216
  • u013181216
  • 2016-09-26 23:25:19
  • 5324

10大Web漏洞扫描程序

\
  • jackpk
  • jackpk
  • 2014-07-28 11:12:44
  • 23104

web漏洞扫描工具

  • 2013年06月17日 23:31
  • 929KB
  • 下载

【收藏】十大Web服务器漏洞扫描工具

现在有许多消息令我们感到Web的危险性,因此,当前如何构建一个安全的Web环境成为网管员和安全管理员们义不容辞的责任。但是巧妇难为无米之炊,该选择哪些安全工具呢? 扫描程序可以在帮助造我们造就安全的...
  • simon803
  • simon803
  • 2012-06-28 17:28:30
  • 14867

漏洞扫描工具Nmap的使用

Nmap 是一款免费的网络发现和安全审计工具,用于列举网络主机清单、管理服务升级调度、监控主机或服务运行状况。可检测主机是否在线、端口开放情况: 监测操作系统与设备类型等信息。它拥有灵活,强大,可移...
  • pygain
  • pygain
  • 2016-08-23 19:22:14
  • 1572

网络攻防之——WEB漏洞扫描

cadaver这个工具是一个用来浏览和修改WebDAV共享的Unix命令行程序。这种工具就是以一种客户端,命令行的格式链接webdavDAVtest测试对支持WebDAV的服务器上传文件等语法:dav...
  • The__Apollo
  • The__Apollo
  • 2017-03-26 20:01:53
  • 1610

开源漏洞扫描器合集

首先,谢谢原作者: (此文为转载的文章,现将原地址贴出如下:http://blog.csdn.net/mypc2010/article/details/77679760) https://gith...
  • hackerie
  • hackerie
  • 2017-09-07 19:46:23
  • 3883

安全测试工具篇(开源&商业)

因项目的需要,自己对一些主流的安全测试工具做了详细的调研工作(包括开源和商业的)。本文是自己的简要分享,希望能帮助有需要的人,其中部分工具是本人使用过的。 由于系统安全测试工具和软件安全测试工...
  • wuzhimang
  • wuzhimang
  • 2016-09-21 23:19:00
  • 4296
收藏助手
不良信息举报
您举报文章:最好用的开源Web漏洞扫描工具梳理
举报原因:
原因补充:

(最多只允许输入30个字)