首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >常用Web安全扫描工具合集

常用Web安全扫描工具合集

作者头像
Bypass
发布2021-04-26 14:52:00
7K0
发布2021-04-26 14:52:00
举报
文章被收录于专栏:BypassBypass

初入门时,喜欢将目标站点直接丢扫描器,慢慢等扫描结果,极度依赖Web扫描器;而有一些漏洞高手,善于运用运用各种工具但并不依赖工具,经常可以找到扫描工具发现不了的漏洞。

一款好用的Web扫描器对于白帽子来说,就像剑客手中的剑一样重要,那么,如何来选择一款合适而好用的Web扫描器呢?今天,我们来介绍一下比较常见的Web安全扫描工具,来给自己挑一把趁手的武器吧。


从扫描方式来说,最传统的一种方式就是基于爬虫的漏洞扫描,通过爬虫收集网站的所有链接及其参数请求,发送Payload进行漏洞探测。对于一些涉及逻辑判断,爬虫无法抓取的页面,则可以通过被动代理扫描,基于被动代理的漏洞扫描让扫描器成为了指哪打哪的利器。另外,但是有一些API或孤页,通过爬虫和人工点击是一一获取到的,这就需要基于日志/流量分析的漏洞扫描来解决这个问题。

1、AWVS

非常经典的Web扫描神器,入门必备。推荐指数:★★★★★

官方网站:

https://www.acunetix.com

AWS10.5 以前的版本,提供的是有客户端和Web界面,不到50M的安装文件,界面简洁,扫描速度快,资源占用率低、扫描策略设置简单,客户端的各种辅助工具更是提供了强大的单兵作战能力。

我个人就是坚定的AWS10.5的拥护者,后来AWVS的web改版确实是有点不习惯了。

2、IBM AppScan

一款可与AWVS比肩的Web安全扫描工具, 推荐指数:★★★★

官方网站:

https://www.hcltechsw.com/products/appscan

总体而言,扫描的效果还是不错的,准确度也相对高一些,扫描速度确实是有点慢。一般而言,通常我们可以对一个web站点同时使用AWVS和AppScan都进行检测,然后相互验证扫描效果,提高检测的准确率。

3、Goby

一款攻击面分析工具,推荐指数:★★★★★

官方网站:

https://gobies.org

安装过程非常简单,Windows解压缩直接双击EXE即可运行,可跨平台支持WindowsLinuxMac。功能上也挺全面的,提供最全面的资产识别,最快的扫描体验,内置可自定义的漏洞扫描框架。

4、Xray

一款强大的安全评估工具。推荐指数:★★★★

官方网站:

https://xray.cool

xray 最好用的就是它的被动扫描模式,与burp进行联动更是一项绝活,让流量从Burp转发到Xray,所有的数据包透明,堪称指哪打哪的利器。

5、开源漏洞检测框架

以POC-T、pocsuite、pocscan、Osprey等为代表的开源项目,提供了可自定义的漏洞检测框架,Poc数量和质量,决定了检测效果,漏洞库的积累就显得尤为重要。

github项目地址:

POC-T:https://github.com/Xyntax/POC-T
pocsuite3:https://github.com/knownsec/pocsuite3
pocscan:https://github.com/erevus-cn/pocscan
Osprey:https://github.com/TophantTechnology/osprey

开源的扫描器不计其数,复造轮子的人甚多,而真正能够成为神器的工具其实不多。

6、IAST 灰盒扫描工具

如果我们的定位是在SDL的安全测试过程中,相比起黑盒测试方案,IAST则是一种新的安全测试方案。一般会通过Agent插桩监测,无需重放请求、无脏数据,几乎达到0误报,无疑是实现自动化安全测试的最佳选择。

7、商业Web应用扫描器

一些安全厂商提供了漏扫产品,不过在细分领域其实还有是一定区别的,比如有专门做Web应用安全扫描的,也有综合性漏洞扫描的,还有做Web安全监测的扫描产品,都有提供了一定的Web应用漏洞扫描的能力。

部分安全厂商及扫描产品汇总:

绿盟       绿盟WEB应用漏洞扫描系统(WVSS)  绿盟远程安全评估系统(RSAS)
启明       天镜脆弱性扫描与管理系统
安恒       Web应用弱点扫描器(MatriXay    明鉴远程安全评估系统
奇安信     网神SecVSS3600漏洞扫描系统
盛邦安全    Web漏洞扫描系统(RayWVS)    远程安全评估系统(RayVAS)
斗象科技    ARS 智能漏洞与风险检测
长亭科技    洞鉴(X-Ray)安全评估系统
四叶草安全  全时风险感知平台

以上,就是我们总结的比较常见的Web安全扫描工具,欢迎大家一起留言讨论。

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2021-04-25,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 Bypass 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
相关产品与服务
漏洞扫描服务
漏洞扫描服务(Vulnerability Scan Service,VSS) 是一款自动探测企业网络资产并识别其风险的产品。依托腾讯二十年累积的安全能力,漏洞扫描服务能够对企业的网络设备及应用服务的可用性、安全性与合规性等进行定期的安全扫描、持续性风险预警和漏洞检测,并且为企业提供专业的修复建议,降低企业安全风险。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档