Web安全漏洞掃描技術(shù)是一種用于檢測(cè)Web應(yīng)用中潛在的漏洞或者安全風(fēng)險(xiǎn)的自動(dòng)化測(cè)試技術(shù)。Web安全掃描工具可以模擬黑客行為，檢測(cè)常見的漏洞，例如：Sql注入、XSS、文件上傳、目錄遍歷等。Web漏洞掃描工具可以用于檢測(cè)Web應(yīng)用程序中可能存在的漏洞，例如：代碼注入、代碼泄漏、跨站腳本、跨站請(qǐng)求偽造、會(huì)話劫持、文件傳輸?shù)取?/p>

Web安全漏洞掃描的步驟一般包括：

• 收集信息：收集目標(biāo)網(wǎng)站的信息，如：IP地址、網(wǎng)站結(jié)構(gòu)等。
• 創(chuàng)建安全策略：基于目標(biāo)網(wǎng)站，結(jié)合網(wǎng)站信息，制定必要的掃描和隔離策略。
• 執(zhí)行掃描并確認(rèn)結(jié)果：使用掃描程序?qū)δ繕?biāo)網(wǎng)站進(jìn)行掃描，分析頁(yè)面、輸入、輸出，人工審核掃描結(jié)果，確認(rèn)漏洞。
• 制定修復(fù)計(jì)劃：根據(jù)掃描結(jié)果，制定相應(yīng)的修復(fù)計(jì)劃以及修復(fù)技術(shù)、方法。
• 修復(fù)漏洞并維護(hù)Web：處理漏洞缺陷，確保Web應(yīng)用安全可靠。

目前市面上有許多Web安全漏洞掃描軟件，有商業(yè)的也有開源免費(fèi)的，例如AppScan就是一個(gè)比較流行的商用Web安全掃描工具。

在這篇文章中，我主要列出一些最好的免費(fèi)開源Web應(yīng)用程序漏洞掃描軟件。

1.OWASP ZAP (Zed Attack Proxy)

源碼地址：https://github.com/zaproxy/zaproxy

Zed Attack Proxy（ZAP）是最流行的開源Web應(yīng)用程序安全測(cè)試工具之一。它由OWASP開發(fā)，旨在在開發(fā)和測(cè)試應(yīng)用程序時(shí)自動(dòng)檢測(cè)Web應(yīng)用程序中的安全漏洞。ZAP輸出的報(bào)告非常直觀，能夠給出明確的漏洞指示，便于深入地收集更多的信息。

另外，它還允許開發(fā)人員/質(zhì)量工程師在CI/CD管道中自動(dòng)執(zhí)行應(yīng)用程序安全回歸測(cè)試。

2.W3af、Web應(yīng)用程序?qū)徲?jì)框架

官網(wǎng)：https://w3af.org/

GitHub源碼地址：https://github.com/andresriancho/w3af

W3af是一個(gè)強(qiáng)大的開源Web應(yīng)用程序攻擊和審計(jì)框架。它作為Web應(yīng)用程序的滲透測(cè)試平臺(tái)，目的是識(shí)別包括SQL注入、跨站腳本等200多種Web應(yīng)用程序漏洞。另外，W3af使用Python開發(fā)，工具帶有圖形和控制臺(tái)界面，易用性較好。

3.Arachni

源碼地址：https://github.com/Arachni/arachni

Arachni是一個(gè)用于現(xiàn)代Web應(yīng)用程序的高性能開源工具。它能夠識(shí)別各種各樣的安全問(wèn)題，如：SQL注入、XSS、本地文件包含、遠(yuǎn)程文件包含、未經(jīng)驗(yàn)證的重定向等。

4.Nikto

源碼地址：https://github.com/sullo/nikto

Nikto是一款流行的開源Web服務(wù)器掃描程序，可對(duì)Web服務(wù)器進(jìn)行全面測(cè)試，以檢查危險(xiǎn)文件、過(guò)時(shí)的服務(wù)器軟件和其他潛在漏洞。

5.Skipfish

源碼地址：https://code.google.com/archive/p/skipfish/source

下載地址：https://code.google.com/archive/p/skipfish/downloads

Skipfish是一個(gè)Google的開源Web安全掃描工具。它通過(guò)抓取網(wǎng)站，并檢查每個(gè)頁(yè)面的各種安全威脅，之后編寫最終報(bào)告。

這個(gè)工具是用C開發(fā)的。針對(duì)HTTP處理和CPU最小化進(jìn)行了高度優(yōu)化。它聲稱它每秒可以輕松地處理2000個(gè)請(qǐng)求，而不會(huì)增加CPU的負(fù)載。

此工具支持Linux、FreeBSD、MacOS X和Windows系統(tǒng)。

6.SQLMap

源碼地址：https://github.com/sqlmapproject/sqlmap

SQLMap是一個(gè)流行的開源網(wǎng)站滲透測(cè)試工具。它可以自動(dòng)查找網(wǎng)站數(shù)據(jù)庫(kù)中的SQL注入漏洞。具有強(qiáng)大的檢測(cè)引擎和許多有用的功能。

它支持一系列數(shù)據(jù)庫(kù)服務(wù)器，包括MySQL、Oracle、PostgreSQL、Microsoft SQL Server、Microsoft Access、IBM DB2、SQLite、Firebird、MySQL和SAP MaxDB等。它完全支持六種SQL注入技術(shù)，包括：基于時(shí)間的盲測(cè)、基于布爾的盲測(cè)、基于錯(cuò)誤、UNION查詢、堆棧查詢、帶外數(shù)據(jù)等。 

7.Wfuzz

源碼地址：https://github.com/xmendez/wfuzz

Wfuzz是一個(gè)用于Web應(yīng)用程序滲透測(cè)試的免費(fèi)開源工具?？梢杂糜趫?zhí)行GET和POST帶參數(shù)的暴力測(cè)試，以檢測(cè)各種注入，如：SQL、XSS、LDAP等。它支持cookie fuzzing、多線程、SOCK、代理、身份驗(yàn)證、參數(shù)暴力測(cè)試、多個(gè)代理等Web環(huán)境。缺點(diǎn)是此工具不提供GUI界面，必須使用命令行界面。