【51CTO.com快譯】如今，從小型餐廳到大型商超，從小型企業到大型聯邦機構，網絡攻擊者總在無時不刻地尋找著窺探以及獲取目標用戶個人身份信息(PII)的隱蔽機會。無論是Facebook還是Erimax(譯者注：一家提供合同承包解決方案的公司)的安全系統，任何一個微小的漏洞、或是細微的系統缺陷，都會讓他們在財務和聲譽上蒙受損失。

[[275458]]

可見，安全事件隨時都可能在企業系統中發生，我們應當對于網絡安全存有敬畏之心。毫不夸張地說：我們需要具有“筑起萬里長堤抵御百年一遇海嘯”的態度。因此，我們需要通過Web安全測試工具，主動檢測應用程序的漏洞、并在網站服務免受惡意攻擊方面發揮有效的作用。

通常，在評估網站的安全態勢方面，我們會用到兩種有效的方法，它們分別是漏洞評估和滲透測試。下面，我們來看看安全測試人員常用的十種優秀的開源工具：

1. NetSparker

作為一款一站式的工具，NetSparker能夠滿足絕大多數網絡的安全需求。它既可以被用在宿主機上，又可以被作為自托管解決方案的一部分。該平臺能夠非常容易地完全集成到，現有的任何一種測試環境或開發環境中。通過使用專利技術，即：基于證據的掃描(Proof-Based-Scanning)，NetSparker能夠自動化地識別各種漏洞，并通過驗證假陽性(false positive)，來削減安全人員花費在二次審驗上的大量時間。

2. ImmuniWeb

作為一款“下一代安全平臺”，ImmuniWeb采用了人工智能來實現各項安全測試。安全測試團隊、開發人員、首席信息安全官(CISOs)、甚至是首席信息官(CIO)們都可以利用它所提供的AI技術，來開展各種平臺級別的滲透測試。同時，用戶只需單擊其虛擬的補丁系統，便可實現對于目標平臺的合規性持續監測。另外，ImmuniWeb擁有專有的多層應用安全測試(Multilayer Application Security Testing)技術，它可以對網站的合規性、服務器安全的加固程度、以及隱私保護態勢等方面提供檢查。

3. Vega

它是一款采用Java編寫而成的免費、開源的漏洞掃描與測試工具。Vega帶有針對OS X、Linux和Windows平臺的GUI。作為一款自動化的掃描工具，它能夠通過網站爬蟲，來進行快速的掃描測試。Vega的攔截代理功能能夠通過觀察與監控客戶端與服務器之間的通信，來輔助安全人員進行戰術上的檢查。Vega能夠檢測的Web應用漏洞包括：盲SQL注入、Shell注入、反射與存儲跨站點的腳本等。由于它的各種檢測模塊都是由JavaScript編寫而成，因此在各種API需要之時，用戶可以自行創建不同新的攻擊模塊。

4. Wapiti

Wapiti是一種命令行式的應用程序，它通過采用爬取網頁的方式，來檢測是否存在被注入的數據腳本或表單。Wapiti可以通過執行黑盒掃描、以及在檢測到的腳本中注入有效載荷，來發現目標系統的漏洞。通過支持HTTP的GET和POST攻擊方法，該工具能夠生成各種格式的脆弱性報告，并提供不同級別的定制內容。Wapiti能夠檢測出諸如：文件泄露、數據庫注入、文件包含、跨站點腳本(XSS)、.htaccess配置錯誤等漏洞。同時，它能夠區分永久性和反射性的XSS漏洞，并會在發現了異常后及時觸發警報。

5. Google Nogotofail

Nogotofail是針對網絡流量的安全性測試工具。它能夠檢查已知的TLS/SSL漏洞、以及那些被錯誤配置的應用程序。Nogotofail提供了一套靈活、可擴展的掃描、識別、以及修復SSL/TLS弱連接的方法，可以被用于檢查目標網站是否容易受到各種中間人(MiTM)的攻擊。此外，它可以被設置為路由器、VPN服務器、以及代理服務器，被用在Android、IOS、Linux、Windows、Chrome、OS、OSX、以及連接到互聯網的任何其他設備上。

6. Acunetix

Acunetix及其漏洞掃描器，是優秀的自動化Web應用安全測試工具。Acunetix漏洞掃描儀分別通過AcuSensor和DeepScan實現了創新性的黑盒掃描和單頁面應用(SPA)的爬取。具有多線程的DeepScan，能夠在WordPress安裝過程中不間斷地爬取、并深度地掃描上千種漏洞。其登錄序列記錄器(Login Sequence Recorder)能夠掃描各種密碼保護字段，而內置的漏洞管理系統則有助于生成相關的技術與合規報告。

7. W3af

W3af是一個Web應用審計和攻擊框架，它能夠有效地抵御超過200種漏洞。通過識別諸如SQL注入、跨站點腳本、可猜測的證書、未處理的應用程序錯誤、以及PHP配置錯誤等漏洞，它能夠有效地減少網站對于各種惡意攻擊因素的暴露面。W3af自帶有以圖形和控制臺為基礎的接口，能夠有效地保證用戶在不到五次點擊之內，審核Web應用程序的安全性。用戶常用它來發送單個HTTP請求、以及多個集群的HTTP響應。此外，它也可以采用身份驗證模塊，對受保護的網站進行掃描，進而將輸出結果記錄到相應的控制臺、文件、甚至是通過電子郵件予以發送。

8. SQLMap

作為一種滲透測試工具，SQLMap通過其檢測引擎，來自動識別和“利用”與SQL注入相關的缺陷。由于自帶有廣泛的數據庫管理系統、以及SQL注入技術，SQLMap能夠自動識別基于哈希的密碼，并能夠通過安全編排應對基于字典的攻擊。由于支持七個級別的冗長SQL語句，它為每一種查詢都提供了ETA支持，并且為用戶的切換帶來了細粒度的靈活性。它的數據庫指紋識別和枚舉特征，能夠有效地簡化滲透測試的運行過程。

9. ZED Attack Proxy (ZAP)

由全球數位志愿者小伙伴，針對開放式Web應用安全項目(OWASP)開發和維護的ZAP，是一款免費且開源的滲透測試工具。ZAP可在Windows、UNIX、Linux、以及Macintosh平臺上，開展自動化和手動類型的安全測試。作為測試人員在瀏覽器與Web應用之間的“中間人代理”，它可以被用來攔截或調整相互發送的消息。除了傳統的測試功能之外，它還具有Ajax蜘蛛、Fuzzer、Web套接字支持、以及基于REST的API等特性。

10. BeEF (Browser Exploitation Framework)

BeEF是瀏覽器開發框架的縮寫，它能夠通過瀏覽器的固有漏洞，來檢測Web應用的自身弱點。它使用客戶端的攻擊向量，來驗證應用程序的安全性。它能夠發送諸如重定向、更改URL、生成對話框等瀏覽器命令。BeEF對常規的網絡邊界和客戶端系統進行了擴展，能夠分析目標系統中Web瀏覽器所處的安全態勢。

原文標題：10 Open-Source Security Testing Tools For Your Website，作者：Hiren Tanna

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】