在實際的工作中，軟件測試工程師有時也要進行一些安全類的測試，下面給大家介紹一些有名的、好用的安全測試工具，方便大家的工作。
1.Nmap
nmap也稱上帝之眼，是一個網(wǎng)絡掃描軟件，用來掃描網(wǎng)絡主機及開放的端口。是網(wǎng)絡管理員的必備軟件，也被黑客廣泛使用，用來搜集目標電腦的網(wǎng)絡信息，查找入侵的可能。
2.BurpSuite
BurpSuite是一個集成了眾多黑客工具的滲透測試平臺，用于攻擊Web應用系統(tǒng)，支持自動化或手工操作來完成對web應用系統(tǒng)的滲透測試和攻擊。使用BurpSuite會讓滲透測試工作變得更加容易、方便和高效。
3.SQLmap
SQLMap是一款自動化SQL注入工具，其主要功能利用給定的漏洞進行SQL注入測試。支持Oracle、MySQL、MicrosoftSQLServer、PostgreSQL、DB2、SQLite、Sybase等多款數(shù)據(jù)庫產(chǎn)品。其功能包括了數(shù)據(jù)庫枚舉、數(shù)據(jù)提取、訪問文件系統(tǒng)，獲取目標管理權限后執(zhí)行各種命令。
SQLMap有其特別的SQL注入技術。如基于布爾類型的盲注、基于時間的盲注、基于報錯注入、聯(lián)合查詢注入。
4.Aircrack-ng
也稱空襲，是當前流行的網(wǎng)絡安全測試工具，帶有多款實用程序，可對WiFi網(wǎng)絡進行檢測。
該工具可使用統(tǒng)計方法來破解WEP和蠻力攻擊來破解WPA-PSK。包括檢測器，數(shù)據(jù)包嗅探器，分析工具以及WEP和WPA/WPA2-PSK破解程序
5.Nessus
Nessus是全世界使用最多、最成熟的網(wǎng)絡漏洞掃描工具。內(nèi)部帶有龐大的漏洞庫，并會不斷更新。
特點：
1.Nessus是C/S架構的，可在本機或遠程控制
2.可安裝第三方插件
3.完全支持HTTPS
使用Nessus可以改善計算機的安全狀況，還支持敏感數(shù)據(jù)發(fā)現(xiàn)，可幫助進行漏洞分析。
6.Wifiphisher
Wifiphisher是一個偽造惡意接入點的工具，能夠?qū)PA加密的WiFi及無線熱點實施自動化釣魚攻擊，獲取密碼賬戶。由于利用了社工原理實施中間人攻擊，Wifiphisher在實施攻擊時無需進行暴力破解。
Wifiphiser攻擊步驟：
1.Wifiphisher會向指定WiFi的所有客戶端持續(xù)發(fā)送解除認證數(shù)據(jù)包
2.Wifiphisher會探索附近WiFi并偽造，受攻擊者登錄偽造的WiFi
3.Wifiphisher向受攻擊者推送一個以假亂真的路由器配置頁面，要求重新輸入和確認WPA密碼。
7.HashCat
Hashcat是黑客們使用的一種流行的開源密碼破解工具。
首先，Hashcat會猜測一個密碼，并對其進行哈希處理，然后將處理所生成的哈希值與真實的密碼哈希值進行比較。如果相等，則猜出了密碼。
Hashcat的其他功能：
1.可以同時破解多個哈希值
2.支持自動的性能調(diào)整以及空間排序
3.支持十六進制
4.支持分布式破解
8.Metasploit
Metasploit是一個開源免費的安全測試框架，可以輕易的獲取、開發(fā)并對漏洞實施攻擊。其本身附帶數(shù)百個已知漏洞的攻擊工具。2003年Metasploit一經(jīng)發(fā)布，仿佛任何人都可以成為黑客，任何人都可以使用Metasploit攻擊漏洞。
9.KaliLinux
KaliLinux是基于Debian的Linux發(fā)行版，設計用來進行數(shù)字取證操作系統(tǒng)，現(xiàn)已成為網(wǎng)絡滲透測試的必備平臺。
KaliLinux預裝了超過300個滲透測試軟件，包括nmap、Wireshark、JohntheRipper以及Aircrack-ng等安全工具，涵蓋信息收集、脆弱性分析、開發(fā)工具、無線攻擊、取證工具、Web應用程序、壓力測試、嗅探和欺騙、密碼攻擊、維護訪問權限、硬件攻擊、逆向工程等領域。
KaliLinux有32位和64位的鏡像?？捎糜趚86指令集。同時還有基于ARM架構的鏡像，可用于樹莓派和三星的ARM。
特性：
1.永久免費
2.遵循FHS，Kali的開發(fā)遵循Linux目錄結構標準，用戶可以像使用Linux一樣方便的使用kali
3.支持大量無線設備，能兼容大量USB和其它無線設備
4.多語言，雖然滲透工具趨向于英語，但仍然支持多語言
10.IBM AppScan
AppScan是IBM一款收費的Web安全掃描工具。該軟件內(nèi)置強大的掃描引擎，利用爬蟲技術進行網(wǎng)站安全滲透測試，可以測試和評估Web服務和應用程序的風險檢查，掃描之后會提供掃描報告和修復建議等。
特點：
1.有自己的用例庫，版本越新用例庫越全
2.支持當前行業(yè)所采用的各種Web應用的技術，以確保URL的完整性
3.專業(yè)的技術團隊維護最全面的規(guī)則庫，也提供了業(yè)界最快的漏洞庫更新頻率
4.通過內(nèi)置的漏洞管理流程，可以跟蹤漏洞的狀態(tài)
5.提供了一系列報告功能，包括存從性檢查，可以檢查40多種國際行業(yè)標準和法規(guī)
6.內(nèi)置漏洞培訓指導，講解每個漏洞的詳細形成原理、過程，并演示了驗證、修復等內(nèi)容，從而可以幫助客戶的技術人員提升安全防范能力和水平。
京公網(wǎng)安備 11010802030320號