内部网络扫描是通过Qualys公司设备进行通讯,以基于云的系统处理。
一旦认购确认后,通过门户网站访问云服务。
Burpsuite:burp是基于java编写的web应用程序安全性测试工具,将不同的测试工具集成到一个平台中。它有免费和商业版本。Burp的免费版有以下功能:Intercepting Proxy,Spider,Repeater,Sequencer,Intruder。有些功能是商业版特有:Scanner,Extension,保存当前状态以便后期再利用,支持导出报告。
OWASP ZAP:OWASP ZAP是一个基于Java的跨平台的开源Web应用安全评估工具。主要功能包括:拦截代理、爬虫、主动和被动式扫描,保存当前状态以便后期利用,支持导出报告。
Acunetix Web Vulnerability Scanner:Acunetix网络漏洞扫描器是一个自动化的应用程序安全测试工具。它是专门设计来扫描像SQL注入,跨站脚本,目录遍历,操作系统命令注入等安全问题。允许用户扫描SANS前20或OWASP前10的漏洞。Wvs有两个版本,免费的和商业。免费的版本是一个14天评估版本,可以扫描所有漏洞,但漏洞的具体位置将不会显示。安装非常简单易懂。主要功能包括:扫描,漏洞检测,计划任务扫描,网站爬虫,子域名扫描,c段web服务探索,HTTP包编辑。
NetSparker:Netsparker也是一款Web应用程序安全扫描仪。其中这个扫描器的独特功能是试图通过成功利用或以其他方式测试,以降低误报率。如果扫描仪可以利用该漏洞,那么它会在报告的“确认”部分中列举出该漏洞。它有三个版本,即社区版,标准版和专业版。社区版是免费评估产品。标准版限制为3个网站意味着我们被允许只扫描三个网站。专业版允许扫描无限网站。
它的主要功能包括:容易上手,爬虫,内部确认引擎确认漏洞是否可利用,报告导出。
结论
漏洞扫描器是可以节省你的时间,但是我们不能完全依靠他们。没有一个工具可以发现存在于网络或web应用程序的每一个漏洞。如果可能的话,使用多个自动扫描仪来减少出错的可能性。web漏洞扫描器无法找到应用程序中业务逻辑问题。而这些漏洞是至关重要的,需要手动进行测试。所以最好的方法是运行一个漏洞扫描器以及手工测试。
本文地址:https://www.best73.com/zdmzt/88669.html