常用Web安全掃描工具合集
初入門(mén)時(shí)，喜歡將目標(biāo)站點(diǎn)直接丟掃描器，慢慢等掃描結(jié)果，極度依賴Web掃描器；而有一些漏洞高手，善于運(yùn)用運(yùn)用各種工具但并不依賴工具，經(jīng)常可以找到掃描工具發(fā)現(xiàn)不了的漏洞。
一款好用的Web掃描器對(duì)于白帽子來(lái)說(shuō)，就像劍客手中的劍一樣重要，那么，如何來(lái)選擇一款合適而好用的Web掃描器呢？今天，我們來(lái)介紹一下比較常見(jiàn)的Web安全掃描工具，來(lái)給自己挑一把趁手的武器吧。
從掃描方式來(lái)說(shuō)，最傳統(tǒng)的一種方式就是基于爬蟲(chóng)的漏洞掃描，通過(guò)爬蟲(chóng)收集網(wǎng)站的所有鏈接及其參數(shù)請(qǐng)求，發(fā)送Payload進(jìn)行漏洞探測(cè)。對(duì)于一些涉及邏輯判斷，爬蟲(chóng)無(wú)法抓取的頁(yè)面，則可以通過(guò)被動(dòng)代理掃描，基于被動(dòng)代理的漏洞掃描讓掃描器成為了指哪打哪的利器。另外，但是有一些API或孤頁(yè)，通過(guò)爬蟲(chóng)和人工點(diǎn)擊是一一獲取到的，這就需要基于日志/流量分析的漏洞掃描來(lái)解決這個(gè)問(wèn)題。
1、AWVS
非常經(jīng)典的Web掃描神器，入門(mén)必備。推薦指數(shù)：★★★★★
官方網(wǎng)站：
https://www.acunetix.comAWS10.5 以前的版本，提供的是有客戶端和Web界面，不到50M的安裝文件，界面簡(jiǎn)潔，掃描速度快，資源占用率低、掃描策略設(shè)置簡(jiǎn)單，客戶端的各種輔助工具更是提供了強(qiáng)大的單兵作戰(zhàn)能力。
我個(gè)人就是堅(jiān)定的AWS10.5的擁護(hù)者，后來(lái)AWVS的web改版確實(shí)是有點(diǎn)不習(xí)慣了。
2、IBM AppScan
一款可與AWVS比肩的Web安全掃描工具， 推薦指數(shù)：★★★★
官方網(wǎng)站：
https://www.hcltechsw.com/products/appscan總體而言，掃描的效果還是不錯(cuò)的，準(zhǔn)確度也相對(duì)高一些，掃描速度確實(shí)是有點(diǎn)慢。一般而言，通常我們可以對(duì)一個(gè)web站點(diǎn)同時(shí)使用AWVS和AppScan都進(jìn)行檢測(cè)，然后相互驗(yàn)證掃描效果，提高檢測(cè)的準(zhǔn)確率。
3、Goby
一款攻擊面分析工具，推薦指數(shù)：★★★★★
官方網(wǎng)站：
https://gobies.org安裝過(guò)程非常簡(jiǎn)單，Windows解壓縮直接雙擊EXE即可運(yùn)行，可跨平臺(tái)支持Windows、Linux、 Mac。功能上也挺全面的，提供最全面的資產(chǎn)識(shí)別，最快的掃描體驗(yàn)，內(nèi)置可自定義的漏洞掃描框架。
4、Xray
一款強(qiáng)大的安全評(píng)估工具。推薦指數(shù)：★★★★
官方網(wǎng)站：
https://xray.coolxray 最好用的就是它的被動(dòng)掃描模式，與burp進(jìn)行聯(lián)動(dòng)更是一項(xiàng)絕活，讓流量從Burp轉(zhuǎn)發(fā)到Xray，所有的數(shù)據(jù)包透明，堪稱指哪打哪的利器。
5、開(kāi)源漏洞檢測(cè)框架
以POC-T、pocsuite、pocscan、Osprey等為代表的開(kāi)源項(xiàng)目，提供了可自定義的漏洞檢測(cè)框架，Poc數(shù)量和質(zhì)量，決定了檢測(cè)效果，漏洞庫(kù)的積累就顯得尤為重要。
github項(xiàng)目地址：
POC-T：https://github.com/Xyntax/POC-Tpocsuite3：https://github.com/knownsec/pocsuite3pocscan：https://github.com/erevus-cn/pocscanOsprey：https://github.com/TophantTechnology/osprey
開(kāi)源的掃描器不計(jì)其數(shù)，復(fù)造輪子的人甚多，而真正能夠成為神器的工具其實(shí)不多。
6、IAST ?灰盒掃描工具
如果我們的定位是在SDL的安全測(cè)試過(guò)程中，相比起黑盒測(cè)試方案，IAST則是一種新的安全測(cè)試方案。一般會(huì)通過(guò)Agent插樁監(jiān)測(cè)，無(wú)需重放請(qǐng)求、無(wú)臟數(shù)據(jù)，幾乎達(dá)到0誤報(bào)，無(wú)疑是實(shí)現(xiàn)自動(dòng)化安全測(cè)試的最佳選擇。
7、商業(yè)Web應(yīng)用掃描器
一些安全廠商提供了漏掃產(chǎn)品，不過(guò)在細(xì)分領(lǐng)域其實(shí)還有是一定區(qū)別的，比如有專門(mén)做Web應(yīng)用安全掃描的，也有綜合性漏洞掃描的，還有做Web安全監(jiān)測(cè)的掃描產(chǎn)品，都有提供了一定的Web應(yīng)用漏洞掃描的能力。
部分安全廠商及掃描產(chǎn)品匯總：
綠盟 綠盟WEB應(yīng)用漏洞掃描系統(tǒng)(WVSS) 綠盟遠(yuǎn)程安全評(píng)估系統(tǒng)(RSAS)啟明 天鏡脆弱性掃描與管理系統(tǒng)安恒 Web應(yīng)用弱點(diǎn)掃描器（MatriXay 明鑒遠(yuǎn)程安全評(píng)估系統(tǒng)奇安信 網(wǎng)神SecVSS3600漏洞掃描系統(tǒng)盛邦安全 Web漏洞掃描系統(tǒng)（RayWVS） 遠(yuǎn)程安全評(píng)估系統(tǒng)（RayVAS)斗象科技 ARS 智能漏洞與風(fēng)險(xiǎn)檢測(cè)長(zhǎng)亭科技 洞鑒（X-Ray）安全評(píng)估系統(tǒng)四葉草安全 全時(shí)風(fēng)險(xiǎn)感知平臺(tái)
以上，就是我們總結(jié)的比較常見(jiàn)的Web安全掃描工具，歡迎大家一起留言討論。