- 综合排序
- 最热优先
- 最新优先
- 来自专栏架构驿站
【安全测试】Web安全测试工具简述
Websecurify(Windows, Linux, Mac OS X) 这是个简单易用的开源工具，此程序还有一些人插件支持，可以自动检测网页漏洞。 运行后可生成多种格式的检测报告 Wapiti(Windows, Linux, Mac OS X) 这是一个用Python编写的开源的工具，可以检测网页应用程序，探测网页中存在的注入点。 N-Stalker Free Version(Windows) 此工具可一次检测100个以上的页面，包括跨页脚本的检测。 skipfish(Windows, Linux, Mac OS X) 这是一个轻量级的安全测试工具，处理速度很快，每秒可处理2000个请求。
1.8K51编辑于 2022-03-25 - 来自专栏全栈程序员必看
渗透测试工具包 | 开源安全测试工具 | 网络安全工具
项目介绍 记录渗透测试开源工具。 自动化渗透测试 AttackSurfaceMapper – 自动化渗透测试工具,使用手册/测试流程。 vajra – 自动化渗透测试. Savior – 渗透测试报告自动生成工具！. 漏洞利用框架 hackUtils – 它是一个用于渗透测试和网络安全研究的黑客工具包，渗透以及web攻击脚本。 vulnerable – node编写的漏洞练习平台，like OWASP Node Goat，测试安全分析器工具的质量。 secgen – Ruby编写的一款工具，生成含漏洞的虚拟机。 wpscan – WPScan WordPress 安全扫描器。用于测试 WordPress 网站的安全性。 sqlmap – 自动 SQL 注入和数据库接管工具。 脚本 nishang – Nishang – 用于红队、渗透测试和进攻性安全的进攻性 PowerShell，内网信息收集，横向，扫描、获取凭证等ps脚本。
2.5K11编辑于 2022-09-22 - 来自专栏软件实验室资质建设知识分享
安全测试工具清单｜常见安全测试工具介绍及比对
软件安全测试工程师进行相关测试方法的学习和精进也需要通过对安全测试工具的学习，提升自己的相关技能。本文我们为大家介绍在安全测试的过程中会用到的安全测试工具。 安全测试工具Appscan可以提供可视化的漏洞报告和建议修复措施，帮助用户全面了解网站和应用程序的安全状况，并提供相应的修复建议。 动态应用安全测试工具（DAST）和Fortify Static Code Analyzer（Fortify SCA）静态代码分析工具（SAST），本文介绍的是动态应用安全测试工具WebInspect。 AWVS安全测试工具产品亮点：1、自动的客户端脚本分析器，允许对 Ajax 和 Web 2.0 应用程序进行安全性测试。2、业内最先进且深入的 SQL 注入和跨站脚本测试。 以上就是在安全测试领域常见的安全测试的清单，如需不同产品的价格及功能比对，可私信我交流。相关内容：渗透测试全流程工具清单：
1.2K10编辑于 2025-08-14 - 来自专栏TestOps云层
安全测试工具sqlmap
在周四的测试运维试听课程中，芒果给大家介绍了安全测试工具sqlmap的使用，这里我们来做个小总结。 sqlmap注入 作为OWASP TOP 10 中的 NO 1，注入是目前web安全问题，而sql注入可以算得上注入的典型代表了。 什么是SQL注入？ sqlmap介绍与安装 我们在课程中所介绍的sqlmap就是一款非常强大的开源sql自动化注入工具，可以用来检测和利用sql注入漏洞。 注意：sqlmap只是用来检测和利用sql注入点的，使用前请先使用扫描工具扫出sql注入点。 它由python语言开发而成，通过运行.py文件执行检测和注入工作。 ，这里选择dvwa作为被测网站（设置安全级别为low）。
82520编辑于 2022-04-07 - 来自专栏测试技术圈
安全测试工具sqlmap
在周四的测试运维试听课程中，芒果给大家介绍了安全测试工具sqlmap的使用，这里我们来做个小总结。 sqlmap介绍与安装 我们在课程中所介绍的sqlmap就是一款非常强大的开源sql自动化注入工具，可以用来检测和利用sql注入漏洞。 注意：sqlmap只是用来检测和利用sql注入点的，使用前请先使用扫描工具扫出sql注入点。 它由python语言开发而成，通过运行.py文件执行检测和注入工作。 ，这里选择dvwa作为被测网站（设置安全级别为low）。 续的啰啰嗦嗦 当然除了课程内容除了这些基本的介绍，芒果还给大家介绍了，关于带大家学习安全测试、xss注入、sql注入等安全测试方式等内容。
1.9K20发布于 2019-12-05 - 来自专栏FreeBuf
年度盘点 | 安全测试者偏爱的安全测试工具
国外网站Concise Courses总结了安全测试者常用且好用的安全测试工具，本文摘录并分类整理列举一二，供安全从业者与爱好者参考。 当然，后两者的功能也更丰富，能够为中小企业和企业级组织提供安全项目和高级渗透测试等完整安全解决方案，在 IT 安全审计中也广泛使用。 端口扫描类 Nmap （免费） Nmap 的威力很多安全测试者都领略过。Nmap 是 Network Mapper 的缩写。 安全测试中在进行渗透测试时，可以直接使用 Zenmap，因为它可以预先加载所有命令行，不必在命令终端上输入并运行 “nmap”来加载命令帮助提示。 Immunity Debugger （免费） Immunity CANVAS 测试工具可用于测试系统是否安全。这个工具附带特意设计的漏洞利用模块，可用于发现 exploit。
4K71发布于 2018-02-24 - 来自专栏全栈程序员必看
常用的安全渗透测试工具(渗透测试工具)
使用自动化安全测试工具 目前，多数公司会选择使用安全检测工具，有时它被认为更具可扩展性、更便宜，有时它被认为是“检查”安全框的最简单方法。 动态分析安全测试(DAST)、交互式分析安全测试(IAST) 和运行时应用程序安全保护 (RASP) 都是不同的安全测试工具。 这些工具的使用是完整应用程序安全计划的重要组成部分，同时也与手动测试如渗透测试互为补充。 这些安全测试工具协助开发人员提高开发效率，同时也提供了一定规模的安全检测。 例如，如果您有数百个应用程序，这些工具可以比手工测试更快地为您的所有应用程序提供高级测试覆盖。使用这些工具的另一个例子是，如果您需要对每个PullRequest推送进行基本的安全检查。 此外，这些安全测试工具多在软件开发生命周期中使用，这也意味着可以在开发过程中第一及时发现安全隐患，并在第一时间修复漏洞。相较于软件完成后期的安全测试，可以说是未雨绸缪。
2.4K20编辑于 2022-07-31 - 来自专栏啄木鸟软件测试
安全测试工具（连载9）
4 APP反向编译工具 APP反向编译工具是APP安全领域很重要的工具，本节介绍Dex2jar、和jd-gui。秀一节介绍apktool。 ljd-gui：是一个基于JAVA GUI界面的转换jar文件成JAVA源代码的工具。 lapktool：是一款集成了android apk编译、转换签名文件、smali文件编辑等功能于一体的软件。 \demo4-dex2jar.jar 然后通过jd-gui工具查看JAVA源代码（jd-gui下载后也放在Dex2jar目录下），如45所示。 使用Proguard工具进行混淆 AndroidSDK工具目录下%SDK_HOME%\tools\自带Proguard工具，但是一般而言版本比较低，建议在网上下载最新版本，放在%SDK_HOME 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
84510发布于 2019-12-12 - 来自专栏小网管的运维之路
主流安全测试工具- nmap
主流安全测试工具- nmap 通过扫描主机检查开放了那些端口，可以进行下一步的攻击的工具 常用命令 快速扫描网络地址段存活 nmap -sn 192.168.10.0/24|grep report|awk -F " " '{print
82920发布于 2019-05-29 - 来自专栏啄木鸟软件测试
安全测试工具（连载7）
3 信息侦探工具 3.1 nmap nmap（Network Mapper），最早是Linux下的网络扫描和嗅探工具包。它是一个网络连接端扫描软件，用来扫描网上电脑开放的网络连接端。 它是网络管理员必用的软件之一，以及用以评估网络系统安全。本书介绍的nmap版本为V7.40。 nmap的三大功能。 l探测一组主机是否在线。 l扫描 主机端口，嗅探所提供的网络服务。 关键的用法 lnmap -sP 192.168.0.0/24：进行ping扫描，打印出对扫描做出响应的主机，不做进一步测试。 这个测试用于确定系统是否运行了sshd、DNS、imapd或4564端口。如果这些端口打开，将使用版本检测来确定哪种应用在运行。 192.168.0.133 案例14：使用通配符扫描 C:\Program Files (x86)\Nmap\scripts> nmap --script "http-*" 192.168.0.133 星云测试
1.2K40发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载4）
2 专业测试工具 2.1 CSRFTester CSRFTester是一款CSRF漏洞的测试工具。 此工具的测试原理如下：它使用代理抓取浏览器中访问过的连接以及表单等信息，通过在CSRFTester中修改相应的表单等信息，重新提交，相当于一次伪造客户端请求，如果被测试的请求成功被网站服务器接受，则说明存在 当然此款工具也可以被用来进行CSRF攻击。本书介绍的CSRFTester版本为V1.0。 启动CSRFTester，在命令行总显示127.0.0.1:8008被使用，如39所示。 ? 39 CSRFTester通过监听本地8008端口来测试 然后在浏览器端配置代理，（可以参见7，注意端口改为8008）。 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
76510发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载5）
本书介绍的SQL Map版本为1.2.9.30#dev 打开命令行编辑工具，进入到SQL Map所在的目录，通过命令。 \sqlmap目录>sqlmap.py [参数] [可能存在SQL注入的URL地址] 使用SQL Map工具。SQL Map的参数见2。 --safe-url=SAFEURL：在测试期间频繁访问的URL地址。 --safe-post=SAFE..：POST数据发送到安全URL。 --safe-req=SAFER.. ：从文件中加载安全HTTP请求。 --safe-freq=SAFE..：在两次访问给定安全网址之间测试请求。 --skip-urlencode：忽略有效载荷数据的URL编码。 --purge-output：安全地从输出目录中删除所有内容。 --smart ：只有在正启发式时才进行彻底测试。 --sqlmap-shell：提示交互式sqlmap shell。
2.3K20发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载2）
1.2 AWVS AWVS即Acunetix WVS，全称Acunetix Web Vulnerability Scanner，它是一款常用的WEB应用程序安全测试工具，该工具可以对任何可通过WEB浏览器访问的和遵循 l自动的客户端脚本分析器，允许对 Ajax 和WEB 2.0 应用程序进行安全性测试。 l业内最先进且深入的 SQL 注入和跨站脚本测试。 l高级渗透测试工具，例如 HTTP Editor 和 HTTP Fuzzer。 l可视化宏记录器帮助您轻松测试WEB表格和受密码保护的区域。 打开生成的pdf文件即可查看所有的测试报告。25是一个SQL注入的安全漏洞报告。 ? 25 SQL注入安全漏洞报告 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
1.2K10发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载10）
4.2 apktool apktool是一个为逆向工程师打造的用于反编译Android二进制APP的工具。它可以将资源解码为几乎原始的形式，并在修改之后重建它们。 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
58320发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载1）
在本书上卷中介绍了软件安全测试，本章介绍软件安全测试工具。 软件安全测试工具不像性能测试工具，类型比较多，由于每个产品的功能比较多，本书仅对关键用法进行介绍，进一步的使用方法请读者参考产品的官方文档或网站。 1 安全扫描工具 1.1 Burp Suite Burp Suite 用于攻击WEB应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。 l 测试器：应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。 l 扫描器：一款高级的工具，执行后，它能自动地发现WEB应用程序的安全漏洞。 测试器 测试器主要对拦截下来的请求进行暴力破解的工具。 案例3：登录功能暴力破解。 在本地建立一个登录页面，代码如下。
1.4K31发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载8）
3.2 DirBuster DirBuster是OWASP（开放WEB软体安全项目- OpenWeb Application Security Project)开发的一款专门用于探测WEB服务器的目录和隐藏文件 lFileWith list of dir/files：选择字典文件，高级用户可以自己书写字典文件 lSelectStarting Option：选择开始选项，包括“标准开始点”和“URL模糊测试”两种方式 建议选择“URL模糊测试”。 lURLto Fuzz—/test.html?url={dir}.asp：如果选择了 “URL模糊测试”, 这里输入/{dir}, 运行时被字典变量替换。 44 DirBuster扫描结果 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
74920发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载3）
其安装在Windows操作系统上，可以对网站等Web应用进行自动化的应用安全扫描和测试。本书介绍的AppScan版本为V9.0.3.10。 AppScan特性如下。 l Java脚本安全分析：AppScan中介绍了JavaScript安全性分析，分析抓取HTML页面漏洞，并允许用户专注于不同的客户端问题和DOM（文档对象模型）为基础的XSS问题。 l 工具支持：它有像认证测试，令牌分析器和HTTP请求编辑器等，方便手动测试漏洞。 l Ajax和Dojo框架的支持。 1. l “测试”：利用“探索”的结果，使用“军火库”，发送导弹，进行安全攻击的行为。 l “完全测试”：即先探索再测试，使用AppScan可以仅“探索”不“测试”。 2. 38 AppScan报告 其他一些小工具，比如：“认证测试程序”“网络连接测试”“编解码器”“正则表达式测试”和“HTTP请求编辑器”，比较简单，本书不进行详细介绍。
1.1K20发布于 2019-12-12 - 来自专栏啄木鸟软件测试
安全测试工具（连载6）
2.3 Pangolin Pangolin（穿山甲）一款帮助渗透测试人员进行SQL注入测试的安全工具。它能够通过一系列非常简单的操作，达到最大化的攻击测试效果。 它从检测注入开始到最后控制目标系统都给出了测试步骤。Pangolin是目前国内使用率最高的SQL注入测试的安全软件，可以说是网站安全测试人员的必备工具之一。 1. 产品介绍 其特点如下。 41 Pangolin配置界面 接下来选择注入参数类型和数据库，然后选择注入后想知道的信息，最后点击Information下的【Go】按键，经过测试完毕，信息即被显示出来，见42所示。 ? 42 Pangolin信息显示界面 星云测试 http://www.teststars.cc 奇林软件 http://www.kylinpet.com 联合通测 http://www.quicktesting.net
90420发布于 2019-12-12 - 来自专栏kali blog
【工具推荐】网络安全测试工具Viper
本期文章給大家介绍一款硬核的渗透测试工具Viper。Viper 是 Go 应用程序的完整配置解决方案，包括 12-Factor 应用程序。它旨在在应用程序中工作，并且可以处理所有类型的配置需求和格式。 运行后成功得到会话 ✈️文件管理 端口转发 在线终端 其他功能 防火墙配置 文件上传和下载 网络拓扑结构 端口扫描 总结 Viper是一款比较全面的渗透测试工具。 它包含了免杀msfconsolecs等一系列的工具的优点。是我们研究网络安全的一款不错的工具。当然本工具仅供学习使用，请勿非法恶意攻击他人。
31810编辑于 2025-07-28 - 来自专栏ek1ng的技术小站
安全测试工具（AST）学习笔记
从挖洞角度来说，人工审计一来在熟练之后逐渐趋向于重复劳动的形式，难以再提升平均效率，二来对于一些复杂的调用情形，人工有时候难以发现，因此就会有需求来进行自动化的代码审计工具，来对项目做安全性的检查，由此就衍生出了 Dynamic Application Security Testing)、IAST(Interactive Application Security Testing)，分别指静态、动态、交互式应用程序安全测试 可以参考https://github.com/ASTTeam/CodeQL，有一些codeql的资料 DAST DAST是动态应用程序安全测试，简单来说就是黑盒漏洞扫描器。 IAST IAST指交互式应用程序安全测试，IAST的主要原理是在代码的运行过程中发现漏洞，这里可以直接体验一下火线安全开源的IAST产品洞态https://github.com/HXSecurity/ 这样也会导致在清洗时加重安全侧压力，将污点数据带入QA测试结果等等问题。 插桩扫描模式的实现主要是靠agent等去hook关键函数，来确认流量链路。
1.6K10编辑于 2023-03-23
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号