- 安全测试教程
- 安全测试 - 首页
- 安全测试 - 概述
- 安全测试 - 流程
- 安全测试 - 恶意软件
- HTTP 协议基础
- HTTPS 协议基础
- 编码和解码
- 安全测试 - 密码学
- 安全测试 - 同源策略
- 安全测试 - Cookie
- 黑客攻击 Web 应用程序
- 安全测试 - 注入
- 测试身份验证漏洞
- 测试跨站点脚本攻击
- 不安全的直接对象引用
- 测试安全错误配置
- 测试敏感数据泄露
- 缺少功能级访问控制
- 跨站点请求伪造
- 存在漏洞的组件
- 未经验证的重定向和转发
- 安全测试 - Ajax 安全
- 测试安全 - Web 服务
- 安全测试 - 缓冲区溢出
- 安全测试 - 拒绝服务
- 测试恶意文件执行
- 安全测试 - 自动化工具
- 安全测试有用资源
- 安全测试 - 快速指南
- 安全测试 - 有用资源
- 安全测试 - 讨论
安全测试 - 自动化工具
有各种工具可用于执行应用程序的安全测试。一些工具可以执行端到端的安全测试，而另一些工具则专门用于发现系统中特定类型的缺陷。
开源工具
一些开源安全测试工具如下所示：
| 序号 | 工具名称 |
|---|---|
| 1 | Zed Attack Proxy 提供自动化扫描程序和其他工具来发现安全漏洞。 |
| 2 | OWASP WebScarab 使用 Java 开发，用于分析 Http 和 Https 请求。 |
| 3 | OWASP Mantra 支持多语言安全测试框架 https://www.owasp.org/index.php/OWASP_Mantra_-_Security_Framework |
| 4 | Burp Proxy 用于拦截和修改流量的工具，并可使用自定义 SSL 证书。 |
| 5 | Firefox Tamper Data 使用 Tamper Data 查看和修改 HTTP/HTTPS 标头和 POST 参数 |
| 6 | Firefox Web 开发者工具 Web 开发人员扩展程序向浏览器添加各种 Web 开发人员工具。 |
| 7 | Cookie 编辑器 允许用户添加、删除、编辑、搜索、保护和阻止 Cookie |
特定工具集
以下工具可以帮助我们发现系统中特定类型的漏洞：
| 序号 | 链接 |
|---|---|
| 1 | OWASP SQLiX - SQL 注入 |
| 2 | Sqlninja - SQL 注入 |
| 3 | SQLInjector - SQL 注入 |
| 4 | sqlpowerinjector - SQL 注入 |
| 5 | SSL Digger - 测试 SSL |
| 6 | THC-Hydra - 密码暴力破解 |
| 7 | Brutus - 密码暴力破解 https://www.hackercoolmagazine.com/brutus-password-cracker-complete-guide/ |
| 8 | Ncat - 密码暴力破解 |
| 9 | OllyDbg - 测试缓冲区溢出 |
| 10 | Metasploit - 测试缓冲区溢出 |
商业黑盒测试工具
以下是一些商业黑盒测试工具，它们可以帮助我们发现我们开发的应用程序中的安全问题。
| 序号 | 工具 |
|---|---|
| 1 | NGSSQuirreL |
| 2 | IBM AppScan |
| 3 | Acunetix Web 漏洞扫描程序 |
| 4 | NTOSpider |
| 5 | SOAP UI |
| 6 | Netsparker |
| 7 | HP WebInspect |
免费源代码分析器
| 序号 | 工具 |
|---|---|
| 1 | OWASP Orizon |
| 2 | SearchDiggity |
| 3 | FXCOP |
| 4 | Splint |
| 5 | Boon |
| 6 | W3af |
| 7 | FlawFinder |
| 8 | FindBugs |
商业源代码分析器
这些分析器检查、检测和报告源代码中的弱点，这些弱点容易受到漏洞的影响：
| 序号 | 工具 |
|---|---|
| 1 | Parasoft C/C++ 测试 |
| 2 | HP Fortify |
| 3 | Appscan |
| 4 | Veracode |
| 5 | Armorize CodeSecure |
| 6 | GrammaTech |