- 综合排序
- 最热优先
- 最新优先
- 来自专栏啄木鸟软件测试
安全测试工具（连载4）
2 专业测试工具 2.1 CSRFTester CSRFTester是一款CSRF漏洞的测试工具。 此工具的测试原理如下：它使用代理抓取浏览器中访问过的连接以及表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一次伪造客户端请求，如果被测试的请求成功被网站服务器接受，则说明存在 当然此款工具也可以被用来进行CSRF攻击。本书介绍的CSRFTester版本为V1.0。 启动CSRFTester，在命令行总显示127.0.0.1:8008被使用，如39所示。 ? 39 CSRFTester通过监听本地8008端口来测试 然后在浏览器端配置代理，（可以参见7，注意端口改为8008）。 案例4：电子商务登录功能CSRF测试 打开CSRFTester，设置浏览器代理为：127.0.0.1:8008，点击【Start Recording】按键，在浏览器页面输入电子商务登录页面的IP地址，
77010发布于 2019-12-12 - 来自专栏架构驿站
【安全测试】Web安全测试工具简述
Websecurify(Windows, Linux, Mac OS X) 这是个简单易用的开源工具，此程序还有一些人插件支持，可以自动检测网页漏洞。 运行后可生成多种格式的检测报告 Wapiti(Windows, Linux, Mac OS X) 这是一个用Python编写的开源的工具，可以检测网页应用程序，探测网页中存在的注入点。 N-Stalker Free Version(Windows) 此工具可一次检测100个以上的页面，包括跨页脚本的检测。 skipfish(Windows, Linux, Mac OS X) 这是一个轻量级的安全测试工具，处理速度很快，每秒可处理2000个请求。
1.8K51编辑于 2022-03-25 - 来自专栏全栈程序员必看
渗透测试工具包 | 开源安全测试工具 | 网络安全工具
Savior – 渗透测试报告自动生成工具！. 漏洞利用框架 hackUtils – 它是一个用于渗透测试和网络安全研究的黑客工具包，渗透以及web攻击脚本。 vulnerable – node编写的漏洞练习平台，like OWASP Node Goat，测试安全分析器工具的质量。 secgen – Ruby编写的一款工具，生成含漏洞的虚拟机。 wpscan – WPScan WordPress 安全扫描器。用于测试 WordPress 网站的安全性。 sqlmap – 自动 SQL 注入和数据库接管工具。 子域名枚举/爆破工具 N4xD0rk – 使用名为 Hacking with search engine 的技术列出有关主域的子域。 脚本 nishang – Nishang – 用于红队、渗透测试和进攻性安全的进攻性 PowerShell，内网信息收集，横向，扫描、获取凭证等ps脚本。
2.5K11编辑于 2022-09-22 - 来自专栏软件实验室资质建设知识分享
安全测试工具清单｜常见安全测试工具介绍及比对
软件安全测试工程师进行相关测试方法的学习和精进也需要通过对安全测试工具的学习，提升自己的相关技能。本文我们为大家介绍在安全测试的过程中会用到的安全测试工具。 动态应用安全测试工具（DAST）和Fortify Static Code Analyzer（Fortify SCA）静态代码分析工具（SAST），本文介绍的是动态应用安全测试工具WebInspect。 3、可扫描单页面应用程序 (SPA)4、能够测试针对移动优化的网站以及原生 Web 服务调用。5、可以帮助企业监控安全趋势，针对应用程序中的漏洞提供安全修复建议。 4、部署前保障云基础设施的安全在软件开发生命周期 (SDLC) 中发现安全问题，要不就太迟了。 5、重点关注最重要的威胁市场领先的覆盖范围，掌控每个漏洞。 以上就是在安全测试领域常见的安全测试的清单，如需不同产品的价格及功能比对，可私信我交流。相关内容：渗透测试全流程工具清单：
1.2K10编辑于 2025-08-14 - 来自专栏TestOps云层
安全测试工具sqlmap
在周四的测试运维试听课程中，芒果给大家介绍了安全测试工具sqlmap的使用，这里我们来做个小总结。 sqlmap注入 作为OWASP TOP 10 中的 NO 1，注入是目前web安全问题，而sql注入可以算得上注入的典型代表了。 什么是SQL注入？ sqlmap介绍与安装 我们在课程中所介绍的sqlmap就是一款非常强大的开源sql自动化注入工具，可以用来检测和利用sql注入漏洞。 注意：sqlmap只是用来检测和利用sql注入点的，使用前请先使用扫描工具扫出sql注入点。 它由python语言开发而成，通过运行.py文件执行检测和注入工作。 ，这里选择dvwa作为被测网站（设置安全级别为low）。
82620编辑于 2022-04-07 - 来自专栏测试技术圈
安全测试工具sqlmap
在周四的测试运维试听课程中，芒果给大家介绍了安全测试工具sqlmap的使用，这里我们来做个小总结。 sqlmap介绍与安装 我们在课程中所介绍的sqlmap就是一款非常强大的开源sql自动化注入工具，可以用来检测和利用sql注入漏洞。 注意：sqlmap只是用来检测和利用sql注入点的，使用前请先使用扫描工具扫出sql注入点。 它由python语言开发而成，通过运行.py文件执行检测和注入工作。 ，这里选择dvwa作为被测网站（设置安全级别为low）。 续的啰啰嗦嗦 当然除了课程内容除了这些基本的介绍，芒果还给大家介绍了，关于带大家学习安全测试、xss注入、sql注入等安全测试方式等内容。
1.9K20发布于 2019-12-05 - 来自专栏FreeBuf
年度盘点 | 安全测试者偏爱的安全测试工具
国外网站Concise Courses总结了安全测试者常用且好用的安全测试工具，本文摘录并分类整理列举一二，供安全从业者与爱好者参考。 当然，后两者的功能也更丰富，能够为中小企业和企业级组织提供安全项目和高级渗透测试等完整安全解决方案，在 IT 安全审计中也广泛使用。 安全测试中在进行渗透测试时，可以直接使用 Zenmap，因为它可以预先加载所有命令行，不必在命令终端上输入并运行 “nmap”来加载命令帮助提示。 使用者可以利用 NetScanTools 自动研究 IPv4 和 IPv6 的地址、域名、主机名、电子邮件地址和 URL。 Immunity Debugger （免费） Immunity CANVAS 测试工具可用于测试系统是否安全。这个工具附带特意设计的漏洞利用模块，可用于发现 exploit。
4K71发布于 2018-02-24 - 来自专栏全栈程序员必看
常用的安全渗透测试工具(渗透测试工具)
使用自动化安全测试工具 目前，多数公司会选择使用安全检测工具，有时它被认为更具可扩展性、更便宜，有时它被认为是“检查”安全框的最简单方法。 动态分析安全测试(DAST)、交互式分析安全测试(IAST) 和运行时应用程序安全保护 (RASP) 都是不同的安全测试工具。 这些工具的使用是完整应用程序安全计划的重要组成部分，同时也与手动测试如渗透测试互为补充。 这些安全测试工具协助开发人员提高开发效率，同时也提供了一定规模的安全检测。 例如，如果您有数百个应用程序，这些工具可以比手工测试更快地为您的所有应用程序提供高级测试覆盖。使用这些工具的另一个例子是，如果您需要对每个PullRequest推送进行基本的安全检查。 此外，这些安全测试工具多在软件开发生命周期中使用，这也意味着可以在开发过程中第一及时发现安全隐患，并在第一时间修复漏洞。相较于软件完成后期的安全测试，可以说是未雨绸缪。
2.4K20编辑于 2022-07-31 - 来自专栏啄木鸟软件测试
精准测试及其工具（连载4）
图36 星云客户端加载完成的界面 示波器上对测试用例的基本操作如图37所示。 ? 图37 示波器上对测试用例的基本操作 2、添加测试用例分类和测试用例，如图38和图39所示。 ? 图38 添加测试用例分类 ? 图39 添加测试用例 3、示波器波形展示 在浏览器中输入http://localhost:8081/lanyuan-notebook-3.1v/运行项目，如图40所示。 ? 图40 运行项目 先选中测试用例，再点击开始后就可以进行相应的测试工作了，测试的时候示波器可以收集到动态数据并以波形图的方式展示出来。如图41和图42所示。 ? 图41 开始收集数据 ? 图42 收集到动态数据并以波形图的方式展示 测试完毕后，可以对这次采集的测试数据进行各种测试操作。
54020发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载7）
3 信息侦探工具 3.1 nmap nmap（Network Mapper），最早是Linux下的网络扫描和嗅探工具包。它是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。 它是网络管理员必用的软件之一，以及用以评估网络系统安全。本书介绍的nmap版本为V7.40。 nmap的三大功能。 l探测一组主机是否在线。 l扫描 主机端口，嗅探所提供的网络服务。 关键的用法 lnmap -sP 192.168.0.0/24：进行ping扫描，打印出对扫描做出响应的主机，不做进一步测试。 这个测试用于确定系统是否运行了sshd、DNS、imapd或4564端口。如果这些端口打开，将使用版本检测来确定哪种应用在运行。 1433、135、22、80”等 -O 启用远程操作系统检测，存在误报 -A 全面系统检测、启用脚本检测、扫描等 -oN/-oX/-oG 将报告写入文件，分别是正常、XML、grepable 三种格式 -T4
1.2K40发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载9）
4 APP反向编译工具 APP反向编译工具是APP安全领域很重要的工具，本节介绍Dex2jar、和jd-gui。秀一节介绍apktool。 C:\dex2jar-2.0>d2j-dex2jar demo4.apk dex2jar demo4.apk -> . \demo4-dex2jar.jar 然后通过jd-gui工具查看JAVA源代码（jd-gui下载后也放在Dex2jar目录下），如45所示。 使用Proguard工具进行混淆 AndroidSDK工具目录下%SDK_HOME%\tools\自带Proguard工具，但是一般而言版本比较低，建议在网上下载最新版本，放在%SDK_HOME 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
85310发布于 2019-12-12 - 来自专栏小网管的运维之路
主流安全测试工具- nmap
主流安全测试工具- nmap 通过扫描主机检查开放了那些端口，可以进行下一步的攻击的工具 常用命令 快速扫描网络地址段存活 nmap -sn 192.168.10.0/24|grep report|awk -F " " '{print $5}' 扫一个C段所有主机端口1-65535 nmap -T4 -A -sS -p 1-65535 -v 202.97.231.0/24 扫描指定文件列表中ip地址 nmap -p 80,22,3389 -T4 -iL allip.txt > info.txt 服务扫描 扫描阿里内网redis服务器 nohup nmap -v -sT 10.0.0.0/8 -p 6379 --open
83220发布于 2019-05-29 - 来自专栏啄木鸟软件测试
安全测试工具（连载5）
本书介绍的SQL Map版本为1.2.9.30#dev 打开命令行编辑工具，进入到SQL Map所在的目录，通过命令。 --safe-url=SAFEURL：在测试期间频繁访问的URL地址。 --safe-post=SAFE..：POST数据发送到安全URL。 --safe-req=SAFER.. ：从文件中加载安全HTTP请求。 --safe-freq=SAFE..：在两次访问给定安全网址之间测试请求。 --skip-urlencode：忽略有效载荷数据的URL编码。 --purge-output：安全地从输出目录中删除所有内容。 --smart ：只有在正启发式时才进行彻底测试。 --sqlmap-shell：提示交互式sqlmap shell。 4. 查看当前数据库下所有的表。
2.3K20发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载2）
1.2 AWVS AWVS即Acunetix WVS，全称Acunetix Web Vulnerability Scanner，它是一款常用的WEB应用程序安全测试工具，该工具可以对任何可通过WEB浏览器访问的和遵循 l自动的客户端脚本分析器，允许对 Ajax 和WEB 2.0 应用程序进行安全性测试。 l业内最先进且深入的 SQL 注入和跨站脚本测试。 l高级渗透测试工具，例如 HTTP Editor 和 HTTP Fuzzer。 l可视化宏记录器帮助您轻松测试WEB表格和受密码保护的区域。 打开生成的pdf文件即可查看所有的测试报告。25是一个SQL注入的安全漏洞报告。 ? 25 SQL注入安全漏洞报告 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
1.2K10发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载1）
在本书上卷中介绍了软件安全测试，本章介绍软件安全测试工具。 软件安全测试工具不像性能测试工具，类型比较多，由于每个产品的功能比较多，本书仅对关键用法进行介绍，进一步的使用方法请读者参考产品的官方文档或网站。 1 安全扫描工具 1.1 Burp Suite Burp Suite 用于攻击WEB应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。 l 测试器：应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。 l 扫描器：一款高级的工具，执行后，它能自动地发现WEB应用程序的安全漏洞。 4. 测试器 测试器主要对拦截下来的请求进行暴力破解的工具。 案例3：登录功能暴力破解。 在本地建立一个登录页面，代码如下。
1.4K31发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载10）
4.2 apktool apktool是一个为逆向工程师打造的用于反编译Android二进制APP的工具。它可以将资源解码为几乎原始的形式，并在修改之后重建它们。 在网上下载apktool.bat、apktool.jar，放在同一个目录下，然后把需要反编译的apk也放在这个目录下，运行如下命令（demo4.apk为反编译的apk文件）。 C:\dex2jar-2.0\APKTool>apktool d demo4.apk 在当前目录下形成一个名为demo4的文件夹，点击进入，如49所示。 ? 49 demo4文件夹中的内容 在这里比较关注的是smail文件夹，里面的结构类似于Android工程文件src的目录结构，进入找到相应目录下的对应smail文件，即可通过修改smail文件，在里面加入恶意代码 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
58820发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载3）
其安装在Windows操作系统上，可以对网站等Web应用进行自动化的应用安全扫描和测试。本书介绍的AppScan版本为V9.0.3.10。 AppScan特性如下。 l 工具支持：它有像认证测试，令牌分析器和HTTP请求编辑器等，方便手动测试漏洞。 l Ajax和Dojo框架的支持。 1. l “测试”：利用“探索”的结果，使用“军火库”，发送导弹，进行安全攻击的行为。 l “完全测试”：即先探索再测试，使用AppScan可以仅“探索”不“测试”。 2. 33 是否需要保存扫描结果 接下来，如果选择的是“完全测试”，系统将先进行“探索”然后进行“测试”操作。 扫描完毕，点击即可查看发现的问题，如34所示。 ? 34 AppScan扫描结果 4. 38 AppScan报告 其他一些小工具，比如：“认证测试程序”“网络连接测试”“编解码器”“正则表达式测试”和“HTTP请求编辑器”，比较简单，本书不进行详细介绍。
1.1K20发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载6）
2.3 Pangolin Pangolin（穿山甲）一款帮助渗透测试人员进行SQL注入测试的安全工具。它能够通过一系列非常简单的操作，达到最大化的攻击测试效果。 它从检测注入开始到最后控制目标系统都给出了测试步骤。Pangolin是目前国内使用率最高的SQL注入测试的安全软件，可以说是网站安全测试人员的必备工具之一。 1. 产品介绍 其特点如下。 41 Pangolin配置界面 接下来选择注入参数类型和数据库，然后选择注入后想知道的信息，最后点击Information下的【Go】按键，经过测试完毕，信息即被显示出来，见42所示。 ? 42 Pangolin信息显示界面 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
91920发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载8）
3.2 DirBuster DirBuster是OWASP（开放WEB软体安全项目- OpenWeb Application Security Project)开发的一款专门用于探测WEB服务器的目录和隐藏文件 lFileWith list of dir/files：选择字典文件，高级用户可以自己书写字典文件 lSelectStarting Option：选择开始选项，包括“标准开始点”和“URL模糊测试”两种方式 建议选择“URL模糊测试”。 lURLto Fuzz—/test.html?url={dir}.asp：如果选择了 “URL模糊测试”, 这里输入/{dir}, 运行时被字典变量替换。 44 DirBuster扫描结果 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
75820发布于 2019-12-12 - 来自专栏啄木鸟软件测试
软件安全性测试（连载4）
XSS测试方法 1）容易出现XSS注入的地方 XSS测试就是在容易出现XSS注入的地方输入被测代码，提交后观察其显示是否会触发JavaScript脚本。 常用的XSS测试JavaScript脚本主要就下面两个。 window.attachEvent()…留言板document.location.replace() 评论区document.location.assign() 用户信息… … 2）关于富文本的测试 3）测试技巧 下面来介绍几个XSS注入的测试技巧。 ①绕过长度 见下面代码。 如果通过Burn Suite工具在前端输入的时候输入“Jerry”，然后用Burn Suite工具拦截，将“Jerry”改为<scriptsrc=http://localhost:8100/xsser/
85720发布于 2019-12-23
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号