当前位置： 首页 > news >正文

安全测试之推荐工具（一）

news 2026/2/7 19:18:24

文章目录

  • 一、前言
  • 二、Web安全
    • （一）AppScan（推荐）
    • （二）AWVS（推荐）
    • （三）Burp Suite（推荐）
    • （四）OWASP ZAP
  • 三、主机安全
    • （一）主机扫描
      • 1、Nexpose
      • 2、绿盟 RSAS
      • 3、OpenVas
      • 4、Nessus（推荐）
    • （二）端口扫描
      • 1、Nmap（推荐）
  • 四、安全编码
    • （一）代码扫描
      • 1、Coverity
      • 2、Fortify SCA
      • 3、Findbugs
      • 4、SonarQube（推荐）
      • 5、Checkmarx Suite
    • （二）代码审计
      • 1、Seay
  • 五、安装包安全
    • （一）病毒扫描
  • 六、数据安全
    • （一）数据库安全检查
      • 1、xSecure-DBScan
      • 2、SQLMap（推荐）
      • 3、全知-知镜
  • 七、小结

一、前言

国家层面： 2016年11月7日，《网络安全法》正式发布，2017年6月1日正式实施，我国初步构建了以《网络安全法》为基础的网络空间安全法律法规体系。

企业层面： 随着企业的发展，频繁产品需求迭代，需要大量安全测试工程师投入到产研流程中，同时还要了解业务、产品、逻辑、权限等，安全测试人员的增长已经跟不上安全测试需求的增长速度。提供更多安全自动化工具，通过自动化的方式发现一些安全问题，尽量减少安全开发成本。

二、Web安全

（一）AppScan（推荐）

工具简介：

web安全扫描。Rational AppScan，是对 Web 应用和 Web Services 进行自动化安全扫描的黑盒工具，可以简化发现和修复 Web 应用安全隐患的过程，支持常见的 Web 应用安全漏洞，例如 SQL 注入（SQL-injection）、跨站点脚本攻击（cross-site scripting）及缓冲区溢出（buffer overflow）等方面安全漏洞的扫描，还可以根据发现的安全隐患，提出针对性的修复建议，并能形成多种符合法规、行业标准的报告，方便相关人员全面了解企业应用的安全状况。

  • 官网地址：https://www.hcl-software.com/appscan/home
  • 工具属性：商业
  • 使用范围：包含漏洞、Web应用
  • 使用点评：Web 漏扫主流工具，漏洞扫描，主动发现，很多第三方测评中心和国企在用

（二）AWVS（推荐）

工具简介：

AWVS是业界比较认可的一款web安全扫描工具，可以查找应用程序内的 SQL 注入和跨站点脚本漏洞，并在执行之前修复这些问题。工具还可以对 Web 站点的爬行内容启用黑客 Google 数据库查询，识别敏感数据，检查出可能被黑客利用的漏洞。工具的自动扫描功能可对进行交叉检测各种手工工具进行补充，以方便综合性网站和网络应用层的渗透测试。

  • 工具属性：商业
  • 使用范围：包含漏洞、Web应用
  • 使用点评：漏洞扫描，主动发现

（三）Burp Suite（推荐）

工具简介：

Burp Suite是一个Web应用程序集成攻击平台，它包含了一系列burp工具，这些不同的burp工具通过协同工作，有效的分享信息，支持以某种工具中的信息为基础供另一种工具使用的方式发起攻击，提高了整个攻击的效率。Burp Suite允许攻击者结合手工和自动技术去枚举、分析、攻击Web应用程序。

  • 官网地址：https://portswigger.net/burp/pro
  • 工具属性：开源
  • 使用范围：包含漏洞、Web应用

（四）OWASP ZAP

工具简介：

OWASP Zed Attack Proxy是世界上最受欢迎的免费安全工具之一。ZAP可以帮助我们在开发和测试应用程序过程中，自动发现 Web应用程序中的安全漏洞。另外，它也是一款提供给具备丰富经验的渗透测试人员进行人工安全测试的优秀工具。

  • 官网地址：https://www.zaproxy.org/
  • 工具属性：开源
  • 使用范围：包含漏洞、Web应用

三、主机安全

（一）主机扫描

1、Nexpose

工具简介：

Nexpose是领先的漏洞评估工具之一，是一项统一漏洞解决方案，可扫描网络以识别出在这些网络中运行的设备以及测试设备是否有漏洞。漏洞检查会识别出网络计算环境所有层面（包括在操作系统、数据库、应用程序和文件中）的安全短板。

  • 官网地址：https://www.rapid7.com/products/nexpose/
  • 工具属性：商业
  • 使用范围：包含漏洞、Web、数据库等应用
  • 使用点评：主机漏洞扫描

2、绿盟 RSAS

工具简介：

绿盟远程安全评估系统（NSFOCUS Remote Security Assessment System 简称：NSFOCUS RSAS）是绿盟科技结合多年的漏洞挖掘和安全服务实践经验，自主研发的新一代漏洞管理产品，它高效、全方位的检测网络中的各类脆弱性风险，提供专业、有效的安全分析和修补建议，并贴合安全管理流程对修补效果进行审计，最大程度减小受攻击面。

  • 官网地址：https://www.nsfocus.com.cn/html/2019/207_1009/66.html
  • 工具属性：商业
  • 使用范围：包含漏洞、Web、数据库等应用

3、OpenVas

工具简介：

OpenVAS是开放式漏洞评估系统，也可以说它是一个包含着相关工具的网络扫描器。其核心部件是一个服务器，包括一套网络漏洞测试程序，可以检测远程系统和应用程序中的安全问题。

  • 官网地址：https://openvas.org/
  • 工具属性：开源
  • 使用范围：包含漏洞、Web、数据库等应用
  • 使用点评：主机漏洞扫描

4、Nessus（推荐）

工具简介：

Nessus作为目前全世界最多人使用的系统漏洞扫描与分析软件，其具有免费、威力强大、更新频繁并简易使用的特点，能够提供完整的系统漏洞扫描服务, 并随时更新漏洞数据库，更兼具在本机或远端上摇控, 进行系统的漏洞分析扫描，其内部调用机制能够根据系统的资源而自行调整，自动调度。

  • 官网地址：https://zh-cn.tenable.com/products/nessus
  • 工具属性：开源
  • 使用范围：包含漏洞、Web、数据库等应用
  • 使用点评：主机漏洞扫描

（二）端口扫描

1、Nmap（推荐）

工具简介：

业界最著名的端口扫描工具。适用于：Windows、Linux/Unix等操作系统；
基本功能有三个：一是探测一组主机是否在线；其次是扫描主机端口，嗅探所提供的网络服务；还可以推断主机所用的操作系统 。

  • 官网地址：https://nmap.org/
  • 工具属性：开源
  • 使用访问：各类操作系统
  • 使用点评：端口扫描、主机发现，目前主流在用工具

四、安全编码

（一）代码扫描

1、Coverity

工具简介：

Coverity是美国Coverity公司研发、业界优秀静态代码分析工具，通过在编译过程中检查，可发现Pclint(C/C )和Findbugs(JAVA)等现有工具发现不了的深层次问题，优势非常明显,公司各个产品都已使用并受益匪浅。

  • 官网地址：https://www.synopsys.com/zh-cn/software-integrity/security-testing/static-analysis-sast.html
  • 工具属性：商业
  • 使用范围：数据库

2、Fortify SCA

工具简介：

Fortify SCA 是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。扫描的结果中不但包括详细的安全漏洞的信息，还会有相关的安全知识的说明，以及修复意见的

  • 官网地址：https://www.microfocus.com/zh-cn/cyberres/application-security/static-code-analyzer
  • 工具属性：商业
  • 使用范围：源代码

3、Findbugs

工具简介：

Findbugs是一款Java静态代码分析工具，与其他静态分析工具（如Checkstyle和PMD）不同，Findbugs 不注重样式或者格式，它专注于寻找真正的缺陷或者潜在的性能问题,它可以帮助java工程师提高代码质量以及排除隐含的缺陷。

  • 官网地址：https://findbugs.sourceforge.net/
  • 工具属性：开源
  • 使用范围：源代码

4、SonarQube（推荐）

工具简介：

SonarQube是一种自动代码审查工具，用于检测代码中的错误，漏洞和代码味道。它可以与您现有的工作流程集成，以实现跨项目分支和提取请求的连续代码检查。

  • 官网地址：https://www.sonarsource.com/products/sonarqube/
  • 工具属性：开源
  • 使用范围：源代码
  • 使用点评：主流静态代码分析工具

5、Checkmarx Suite

工具简介：

Checkmarx是以色列研发的一款代码审计工具，是.NET开发的，只能在Windows下使用。

  • 官网地址：https://checkmarx.com/zh/
  • 工具属性：商业
  • 使用范围：源代码

（二）代码审计

1、Seay

工具简介：

Seay是一款国产开源的PHP代码审计软件，2012年被oschina开源中国网站收录，2013年发布2.0版本。现已停止维护。

相关地址：https://github.com/f1tz/cnseay
工具属性：开源
使用范围：源代码

五、安装包安全

（一）病毒扫描

工具名称工具属性
卡巴斯基商业
趋势杀毒商业
小红伞商业

六、数据安全

（一）数据库安全检查

1、xSecure-DBScan

工具简介：

xSecure-DBScan提供丰富的检测库，可以检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等自身漏洞，并对检测出的漏洞，提供漏洞产生原因分析，有针对性的给出修复建议，以及修复漏洞所需的命令、脚本、执行步骤等。

  • 官网地址：https://www.dbsec.cn/
  • 工具属性：商业
  • 使用范围：数据库

2、SQLMap（推荐）

工具简介：

sqlmap是一款基于python编写的渗透测试工具，在sql检测和利用方面功能强大，支持多种数据库。

  • 官网地址：https://sqlmap.org/
  • 工具属性：开源
  • 使用范围：数据库

3、全知-知镜

工具简介：

一款通过智能分析网络流量，全面盘点系统敏感数据暴露面和流动情况，及时发现业务系统的脆弱点和数据流动风险的系统，系统能够提供多种特定场景的测评能力，帮助企业快速分析合规现状，定位数据账号风险、数据权限风险、暴露面风险、数据行为风险、数据出境风险等安全风险。

  • 官网地址：https://data-sec.com/product/zhijing-home/
  • 工具属性：商业
  • 使用范围：数据库

七、小结

以上仅做参考，部分工具为商用，工作中自行评估购买或使用免费工具替代，不同种类至少选择一款。

在这里插入图片描述

相关文章：

安全测试之推荐工具（一）

文章目录 一、前言二、Web安全（一）AppScan（推荐）（二）AWVS（推荐）（三）Burp Suite（推荐）（四）OWASP ZAP 三、主机安…...

编程日记 2023/12/5 1:42:50

final关键字

修饰 类，属性，方法，局部变量（包括方法参数） 类似c语言的const 使用方式： 1 不希望类被继承 用final类（类很重要，担心别人重写/修改） 2 不希望某…...

编程日记 2023/12/5 1:40:48

WPF MVVM模式下如何将UI窗口变量传参到Viewmodel层

WPF MVVM模式下如何将UI窗口变量传参到Viewmodel层 UI层窗口定义 //窗口中绑定ViewModel<hc:GlowWindow.DataContext><viewmodel:MainWindowViewModel /></hc:GlowWindow.DataContext>//注册初始化事件<hc:Interaction.Triggers><hc:EventTrigger…...

编程日记 2023/12/5 1:39:45

条款22：将成员变量声明为private

1.前言 首先&#xff0c;我们应该利用反证法&#xff0c;看看为什么成员变量不该是public&#xff0c;然后再了解所有反对public成员变量的论点同样适用于protected成员变量。最后得出一个结论&#xff1a;成员变量应该是private。 2.为什么不用public 如果成员变量不是publ…...

编程日记 2023/12/5 1:38:44

PTA 7-224 sdut-C语言实验-排序问题

输入10个整数&#xff0c;将它们从小到大排序后输出&#xff0c;并给出现在每个元素在原来序列中的位置。 输入格式: 输入数据有一行&#xff0c;包含10个整数&#xff0c;用空格分开。 输出格式: 输出数据有两行&#xff0c;第一行为排序后的序列&#xff0c;第二行为排序…...

编程日记 2023/12/5 1:34:38

【JavaScript】3.2 JavaScript性能优化

文章目录 1. 避免全局查找2. 避免不必要的属性查找3. 使用快速的JavaScript方法4. 避免不必要的DOM操作5. 使用Web Workers进行后台处理总结 性能优化是任何编程语言的重要组成部分&#xff0c;JavaScript也不例外。在这个章节中&#xff0c;我们将探讨如何优化JavaScript代码&…...

编程日记 2023/12/5 1:33:37

pytorch bert实现文本分类

以imdb公开数据集为例&#xff0c;bert模型可以在huggingface上自行挑选 1.导入必要的库 import os import torch from torch.utils.data import DataLoader, TensorDataset, random_split from transformers import BertTokenizer, BertModel, BertConfig from torch import…...

编程日记 2023/12/5 1:31:32

《开箱元宇宙》：Madballs 解锁炫酷新境界，人物化身系列大卖

你是否曾想过&#xff0c;元宇宙是如何融入世界上最具代表性的品牌和名人的战略中的&#xff1f;在本期的《开箱元宇宙》 系列中&#xff0c;我们与 Madballs 的战略顾问 Derek Roberto 一起聊聊 Madballs 如何在 90 分钟内售罄 2,000 个人物化身系列&#xff0c;以及是什么原…...

编程日记 2023/12/5 1:30:31

4K-Resolution Photo Exposure Correction at 125 FPS with ~8K Parameters

MSLTNet开源 | 4K分辨率125FPS8K的参数量&#xff0c;怎养才可以拒绝这样的模型呢&#xff1f; 错误的曝光照片的校正已经被广泛使用深度卷积神经网络或Transformer进行广泛修正。尽管这些方法具有令人鼓舞的表现&#xff0c;但它们通常在高分辨率照片上具有大量的参数数量和沉…...

编程日记 2023/12/5 1:27:28

网络初识：局域网广域网网络通信基础

提示&#xff1a;文章写完后&#xff0c;目录可以自动生成&#xff0c;如何生成可参考右边的帮助文档 文章目录 前言一、局域网LAN是什么&#xff1f;二、广域网是什么&#xff1a;三. IP地址四.端口号五.认识协议5.1五元组 总结 前言 一、局域网LAN是什么&#xff1f; 局域网…...

编程日记 2023/12/5 1:26:27

JVM之jps虚拟机进程状态工具

jps虚拟机进程状态工具 1、jps jps&#xff1a;(JVM Process Status Tool)&#xff0c;虚拟机进程状态工具&#xff0c;可以列出正在运行的虚拟机进程&#xff0c;并显示虚拟机执 行主类&#xff08;Main Class&#xff0c;main()函数所在的类&#xff09;的名称&#xff0c…...

编程日记 2023/12/5 1:24:23

C++实现顺序栈的基本操作（扩展）

#include <stdio.h> typedef char ElemType; #define StackSize 100 /*顺序栈的初始分配空间*/ typedef struct { ElemType data[StackSize]; /*保存栈中元素*/int top; /*栈顶指针*/ } SqStack; void InitStack(SqStack &st) {st.top-1; } …...

编程日记 2023/12/5 1:23:22

用python写一个简单的爬虫

爬虫是一种自动化程序&#xff0c;用于从互联网上获取数据。它能够模拟人类浏览网页的行为&#xff0c;访问网页并提取所需的信息。爬虫在很多领域都有广泛的应用&#xff0c;例如数据采集、信息监控、搜索引擎索引等。 下面是一个使用Python编写的简单爬虫示例&#xff1a; …...

编程日记 2023/12/5 1:22:20

分布式追踪

目录 文章目录 目录自定义指标1.删除标签2.添加指标3.禁用指标 分布式追踪上下文传递Jaeger 关于我最后最后 自定义指标 除了 Istio 自带的指标外&#xff0c;我们还可以自定义指标&#xff0c;要自定指标需要用到 Istio 提供的 Telemetry API&#xff0c;该 API 能够灵活地配…...

编程日记 2023/12/5 1:21:19

make -c VS make -f

make 是一个用于构建&#xff08;编译&#xff09;项目的工具&#xff0c;它通过读取一个名为 Makefile 的文件来执行构建任务。make 命令有很多选项和参数&#xff0c;其中包括 -c 和 -f。 make -c&#xff1a; 作用&#xff1a;指定进入指定的目录并执行相应的 Makefile。 示…...

编程日记 2023/12/5 1:20:17

Unity 代码控制Color无变化

Unity中&#xff0c;我们给Color的赋值比较常用的方法是&#xff1a; 1、使用预定义颜色常量&#xff1a; Color color Color.white; //白色 Color color Color.black; //黑色 Color color Color.red; //红色 Color color Color.green; //绿色 Color color Color.blue; …...

编程日记 2023/12/5 1:19:16

【Erlang进阶学习】2、匿名函数

受到其它一些函数式编程开发语言的影响&#xff0c;在Erlang语言中&#xff0c;将函数作为一个对象&#xff0c;赋予其“变量”的属性&#xff0c;即为我们的匿名函数 或 简称 fun&#xff0c;它具有以下特性&#xff1a; &#xff08;匿名函数&#xff1a;不是定义在Erlang模…...

编程日记 2023/12/5 1:18:15

肖sir__mysql之视图__009

mysql之视图 一、什么是视图 视图是一个虚拟表&#xff08;逻辑表&#xff09;&#xff0c;它不在数据库中以存储形式保存&#xff08;本身包含数据&#xff09;&#xff0c;是在使用视图的时候动态生成。 二、视图作用 1、查询数据库中的非常复的数据 例如&#xff1a;多表&a…...

编程日记 2023/12/5 1:17:13

FPGA falsh相关知识总结

1.存储容量是128M/8 Mb16MB 2.有256个sector扇区*每个扇区64KB16MB 3.一页256Byte 4.页编程地址0256 5&#xff1a;在调试SPI时序的时候一定注意&#xff0c;miso和mosi两个管脚只要没发送数据就一定要悬空&#xff08;处于高组态&#xff09;&#xff0c;不然指令会通过两…...

编程日记 2023/12/5 1:16:11

升辉清洁IPO：广东清洁服务“一哥”还需要讲好全国化的故事

近日&#xff0c;广东物业清洁服务“一哥”升辉清洁第四次冲击IPO成功&#xff0c;拟于12月5日在香港主板挂牌上市。自2021年4月第一次递交招股书&#xff0c;时隔两年半&#xff0c;升辉清洁终于拿到了上市的门票。 天眼查显示&#xff0c;升辉清洁成立于2000年&#xff0c;主…...

编程日记 2023/12/5 1:15:10

linux之kylin系统nginx的安装

一、nginx的作用 1.可做高性能的web服务器 直接处理静态资源&#xff08;HTML/CSS/图片等&#xff09;&#xff0c;响应速度远超传统服务器类似apache支持高并发连接 2.反向代理服务器 隐藏后端服务器IP地址&#xff0c;提高安全性 3.负载均衡服务器 支持多种策略分发流量…...

编程新知 2026/1/18 3:11:35

利用ngx_stream_return_module构建简易 TCP/UDP 响应网关

一、模块概述 ngx_stream_return_module 提供了一个极简的指令&#xff1a; return <value>;在收到客户端连接后&#xff0c;立即将 <value> 写回并关闭连接。<value> 支持内嵌文本和内置变量&#xff08;如 $time_iso8601、$remote_addr 等&#xff09;&a…...

编程新知 2025/9/21 0:49:02

DeepSeek 赋能智慧能源：微电网优化调度的智能革新路径

目录 一、智慧能源微电网优化调度概述1.1 智慧能源微电网概念1.2 优化调度的重要性1.3 目前面临的挑战 二、DeepSeek 技术探秘2.1 DeepSeek 技术原理2.2 DeepSeek 独特优势2.3 DeepSeek 在 AI 领域地位 三、DeepSeek 在微电网优化调度中的应用剖析3.1 数据处理与分析3.2 预测与…...

编程新知 2025/11/20 2:48:44

为什么需要建设工程项目管理？工程项目管理有哪些亮点功能？

在建筑行业&#xff0c;项目管理的重要性不言而喻。随着工程规模的扩大、技术复杂度的提升&#xff0c;传统的管理模式已经难以满足现代工程的需求。过去&#xff0c;许多企业依赖手工记录、口头沟通和分散的信息管理&#xff0c;导致效率低下、成本失控、风险频发。例如&#…...

编程新知 2026/2/4 12:35:34

工程地质软件市场：发展现状、趋势与策略建议

一、引言 在工程建设领域&#xff0c;准确把握地质条件是确保项目顺利推进和安全运营的关键。工程地质软件作为处理、分析、模拟和展示工程地质数据的重要工具&#xff0c;正发挥着日益重要的作用。它凭借强大的数据处理能力、三维建模功能、空间分析工具和可视化展示手段&…...

编程新知 2025/10/6 6:10:29

Axios请求超时重发机制

Axios 超时重新请求实现方案 在 Axios 中实现超时重新请求可以通过以下几种方式&#xff1a; 1. 使用拦截器实现自动重试 import axios from axios;// 创建axios实例 const instance axios.create();// 设置超时时间 instance.defaults.timeout 5000;// 最大重试次数 cons…...

编程新知 2025/10/13 2:26:14

汇编常见指令

汇编常见指令 一、数据传送指令 指令功能示例说明MOV数据传送MOV EAX, 10将立即数 10 送入 EAXMOV [EBX], EAX将 EAX 值存入 EBX 指向的内存LEA加载有效地址LEA EAX, [EBX4]将 EBX4 的地址存入 EAX&#xff08;不访问内存&#xff09;XCHG交换数据XCHG EAX, EBX交换 EAX 和 EB…...

编程新知 2026/1/23 2:04:44

【Oracle】分区表

个人主页&#xff1a;Guiat 归属专栏&#xff1a;Oracle 文章目录 1. 分区表基础概述1.1 分区表的概念与优势1.2 分区类型概览1.3 分区表的工作原理 2. 范围分区 (RANGE Partitioning)2.1 基础范围分区2.1.1 按日期范围分区2.1.2 按数值范围分区 2.2 间隔分区 (INTERVAL Partit…...

编程新知 2026/1/20 21:59:36

20个超级好用的 CSS 动画库

分享 20 个最佳 CSS 动画库。 它们中的大多数将生成纯 CSS 代码&#xff0c;而不需要任何外部库。 1.Animate.css 一个开箱即用型的跨浏览器动画库&#xff0c;可供你在项目中使用。 2.Magic Animations CSS3 一组简单的动画&#xff0c;可以包含在你的网页或应用项目中。 3.An…...

编程新知 2026/1/25 11:46:42

现有的 Redis 分布式锁库（如 Redisson）提供了哪些便利？

现有的 Redis 分布式锁库&#xff08;如 Redisson&#xff09;相比于开发者自己基于 Redis 命令&#xff08;如 SETNX, EXPIRE, DEL&#xff09;手动实现分布式锁&#xff0c;提供了巨大的便利性和健壮性。主要体现在以下几个方面&#xff1a; 原子性保证 (Atomicity)&#xff…...

编程新知 2025/9/23 11:26:04