软件测试实验室, 于建立技术体系这儿, 又或者申请CNAS、CMA软件评测资质时, 得依据测试所覆盖范围, 还有资质申请范围, 去配备相应测试工具。软件安全测试工程师, 在进行相关测试方法的学习以及精进这个事儿上, 也得经由对安全测试工具的学习, 以此提升自身相关技能。本文, 我们是要为大家介绍, 在安全测试过程中会用到的安全测试工具。
一、AppScan
一款名为Appscan的专门的漏洞扫描以及安全评估工具, 它主要是用来协助企业开展评估, 进而发觉其网站以及应用程序当中所潜伏的安全漏洞与相关风险。其主要具备的功能涵盖漏洞扫描、安全审计以及风险评估。它能够自动去扫描网站以及应用程序, 以此检测出常见的安全漏洞, 诸如跨站脚本攻击也就是XSS、SQL注入、跨站请求伪造即CSRF等。Appscan的应用行业相较而言较为广泛, 诸如金融、电子商务、医疗、政府机构等这些领域都有着对应的成熟案例。
针对网站以及应用程序安全状况能予以全面了解的安全测试工具Appscan, 可生出可视化之漏洞报告, 还能给出建议修复措施, 它还支持跟开发团队以及安全团队展开协作, 借此实现快速的漏洞之修复以及安全措施的施行, 进而借助这些为用户提供相应修复建议。
Appscan安全测试工具产品亮点：
1、提供全面的漏洞规则库, 该规则库覆盖WASC和OWASP两大Web安全标准组织所定义的主流的各类攻击技术与手段, 这其中包括多种, 不限于: Brute Force、Insufficient Authentication、Credential/Session Prediction、Insufficient Authorization、Insufficient Session Expiration、Session Fixation、Content Spoofing、Cross-site Scripting、Buffer Overflow、Format String Attack、LDAP Injection、OS Commanding、SQL Injection、SSI Injection、XPath Injection、Directory Indexing、Information Leakage、Path Traversal、Predictable Resource Location、Abuse of Functionality、Denial of Service、Insufficient Process Validation等攻击技术和方法。其中, 对于Cross Site Scripting, 此规则库能够检测至少20种变种；对于SQL Injection, 该规则库则能够检测至少40种变种。
2、支持对扫描规则库进行在线升级, 支持手动升级, 支持自定义规则, 支持规则的导入, 还支持规则的导出。
3、对支持Web应用的技术, 像是Javascript、HTTPS以及认证等，予以支持, 从而保证能发现URL的完整性。
4、能够支持比如说, 从Flash、PDF、Office这类类型的文档中间, 去寻觅URL, 而且还能够展开对其安全方面的测试, 以确保安全性, 是合乎要求的。
5、能够测试顺序业务逻辑，如新开帐户和进行在线购买；
6、可支持针对Web service应用系统展开安全漏洞扫描, 并且自身携带Web Service服务发现工具。
7、支持常见的Web认证方式（表单、验证码、NTLM等）；
8、 支持HTML爬虫和SSL；
9、让用户能够进行编辑报告, 针对协助开发人员和质量管理人员修复安全方面存在的缺陷, 还可以对其增添自定义注释或者详细信息。
10、对“玻璃盒”扫描技术予以支持, 此技术意味着, 不但能够接收到应用的扫描响应, 而且还能够对Web服务器内部的响应进行监控。
11、可以对适用于手机浏览器客户端进行浏览的Web应用开展漏洞扫描, 能够至少模拟像这样类型的移动设备浏览器: Chrome, Opera, Safari, Google Android, Blackberry, IE移动版。
2、Fortify webinspect
Fortify属于Micro Focus（现归OpenText所有）旗下的AST（应用程序安全测试）产品, 它涵盖Fortify WebInspect动态应用安全测试工具（DAST）以及Fortify Static Code Analyzer（Fortify SCA）静态代码分析工具（SAST）, 而本文所讲述的是动态应用安全测试工具WebInspect。
一款名为 Fortify WebInspect 的动态应用程序安全测试工具, 能识别已部署中的 Web 应用程序与服务里的应用程序漏洞, 借助最全面且最准确的动态扫描程序, 扫描当今主流技术框架以及 Web 技术, 还有详尽的 REST API, 助力组织轻松达成工具集成。
WebInspect的动态应用程序安全测试, 也就是DAST, 其覆盖范围相比较而言还算颇为宽泛, 它能够助力渗透测试工程师找出那种黑盒安全测试技术常常检测不出的全新型漏洞。
WebInspect 安全测试工具产品亮点 ：
1、比起其他检测方式, 它在漏洞检测方面做得更全面, 能够精确针对所有漏洞类别, 开展全面审计工作, 进而依据此对现代框架, 以及Web技术进行爬网。
2、能对 HTML5 予以支持, 能对 JSON 予以支持, 能对 AJAX 予以支持, 能对 JavaScript 等当下最新的 Web 技术予以支持。
3、可扫描单页面应用程序 (SPA)
4、能够测试针对移动优化的网站以及原生 Web 服务调用。
5、能协助企业对安全趋势予以监控, 还能针对应用程序里的漏洞给出安全修复建议。
6、有一种完全自动化的解决方案, 它能够满足DevOps的要求, 同时也可以满足扩展性的需求。
7、预配置策略, 能够满足PCI DSS, 它是与Web应用程序安全性有关的重要合规性法规标准, 报告也能满足DISA STIG、NIST 800 - 53、ISO27000、OWASP和HIPPAA等所有与Web应用程序安全性有关的重要合规性法规标准。
三、绿盟 NSFOCUS RSAS漏洞管理产品（信创版）
绿盟远程安全评估系统, 也就是 NSFOCUS RSAS, 是绿盟科技依照自身多年积攒的漏洞挖掘以及安全服务实践经验, 独立自主研发而成的新一代漏洞管理产品, 它能够高效地检测网络里的各类脆弱性风险, 还能全方位地检测, 提供专业且有效的安全分析以及修补建议, 并且会依据安全管理流程对修补效果展开审计, 以此最大程度地减少攻击威胁, 堪称您身边专业的“漏洞管理专家”, 它还作为一款国产软件, 契合国家信创要求。
绿盟安全测试工具产品亮点 ：
1、强大的系统漏洞扫描能力
能对操作系统展开扫描支持, 能对数据库进行扫描支持, 可对中间件予以扫描支持, 可对网络设备开展扫描支持, 可对安全设备开展扫描支持, 会给出常用软件扫描支持等, 针对多种主流信息系统, 其漏洞知识库和国际主流漏洞库标准是相兼容的, 其风险评估模型和国际通用CVSS漏洞评分中涉及标准是兼容的。
2、专业的Web应用漏洞扫描
运用独立的Web应用漏洞扫描引擎, 对各类Web应用系统展开全面检测。它支持超过一千种Web应用漏洞检测办法, 可达成网站挂马检测以及Web漏洞检测。借助相关创新技术, 达成对海量页面的快速且稳定的扫描。
3、全面的配置核查系统
进行自动发现, 针对多类设备及系统的安全配置问题予以分析, 以此避免因传统人工检查方式而带来的失误风险, 进而提高检查结果的准确性以及合规性。所涵盖的是多种类型多种系统的一百多种模板。
四、Nessus 系统漏洞扫描与分析工具
一款名为 Nessus 的是知名漏洞扫描工具, 它得以开发和维护是由 Tenable Network Security 公司完成的, 它被广泛运用在评估计算机系统与网络里的漏洞及安全风险方面, Nessus 借助扫描目标系统, 能自动化检测并识别系统中现存的已知漏洞、弱点以及配置错误, 随后生成相应报告, 以此帮助安全专业人员评估与修复系统中的安全问题。
Nessus具备广泛的漏洞检测能力, 这其中涵盖了操作系统漏洞, 还有网络服务漏洞, 以及应用程序漏洞等。它支持多种扫描类型, 像主机扫描、网络扫描、Web应用程序扫描等均可, 能够灵活地去满足不同环境和需求的安全评估以及扫描任务。
Nessus具备了供用户使用起来较为友好的图形界面, 还拥有强大的漏洞库, 且有着定期更新的漏洞签名, 这致使它变成了企业以及安全专业人员用来从事漏洞扫描和评估的关键工具当中的一个。
述（最多18字
Nessus 安全测试工具产品亮点 ：
1、在任何平台上部署
各种平台上能部署Nessus, 其中涵盖Raspberry Pi。无论您身处何方、前往何处, 亦或是您的环境多么分散, 全可移植的是Nessus。
2、高效和准确
由动态编译而成的插件, 提升了扫描性能之为性能, 以及效率之为效率, 能够支持以更快速度去完成首次扫描, 进而以此行为之实践达成价值之体现。
3、获取面向互联网的攻击面的可见性
您没法保护您瞅不见的事物, 于攻击者寻到您之前, 开展查找、进行与互联网相连接资产的评估。
4、部署前保障云基础设施的安全
软件开发生命周期也就是 SDLC这个环境里呢将安全问题给发现并找到, 否则出现这种情况的话, 那就会造成太晚的结果了。
5、重点关注最重要的威胁
位于市场前列的覆盖范畴, 把控住每一个漏洞之处。将 Nessus 的强劲功能全面加以运用, 针对最为关键的威胁予以归类然后处置搞定。
6、预建策略和模板
有超过450个预配置模板, 能帮您迅速知晓漏洞所在之处。依据CIS基准以及其他最佳实践, 能够轻松开展配置合规性审核。
7、可定制报告和故障排除
可进行自定义的报告功能, 能够予以优化用来满足特定需求, 而且能够采用最适配您安全流程的格式去导出。
8、实时检测结果
实时结果能够伴随着每一回插件完成更新工作之际去自动进行执行离线漏洞评估, 依据您所拥有的扫描历史情况, 给您展露出漏洞所处之处。您在此处能够简便地开展扫描操作以此去验证漏洞是否确实存在相应情况, 以这样的方式来加速对于问题做到准确检测以及优先分析环节的推进速度。
五、AWVS web安全扫描工具
比较被业界认可是一款web安全扫描之中的AWVS这个工具, 它能够去查找应用程序之内存在的SQL注入, 查找跨站点脚本漏洞, 并且在执行之前修复这些问题。此工具还能够对Web站点爬行的内容启用黑客对Google数据库进行查询操作, 从而将敏感数据识别出来, 检查得到那种可能会被黑客利用的漏洞。该工具具备的自动扫描功能能够对进行交叉检测的各种手工工具起到补充作用, 以此方便综合性网站以及网络应用层的渗透测试。
AWVS安全测试工具产品亮点：
1、能够自动运行的客户端脚本分析器, 可容许针对Ajax及Web 2.0应用程序开展安全性检测。
2、业内最先进且深入的 SQL 注入和跨站脚本测试。
3、能够帮助您轻松测试 web 表格的可视化宏记录器, 也能助力您对受密码保护的区域进行测试。
4、支援具备 CAPTHCA 的页面, 单独的起始指令，以及俩因素验证机制。
5、丰富的报告功能，包括 VISA PCI 依从性报告。
6、高速的多线程扫描器轻松检索成千上万个页面。
以上便是于安全测试范畴之中常常会出现的安全测试的清单, 要是有对于不同产品的价格以及功能进行比较核对的需求, 能够私下给我发送消息来展开交流。
相关内容：渗透测试全流程工具清单：
