来自公众号： Bypass
初入门时，喜欢将目标站点直接丢扫描器，慢慢等扫描结果，极度依赖Web扫描器；而有一些漏洞高手，善于运用运用各种工具但并不依赖工具，经常可以找到扫描工具发现不了的漏洞。
一款好用的Web扫描器对于白帽子来说，就像剑客手中的剑一样重要，那么，如何来选择一款合适而好用的Web扫描器呢？今天，我们来介绍一下比较常见的Web安全扫描工具，来给自己挑一把趁手的武器吧。
从扫描方式来说，最传统的一种方式就是基于爬虫的漏洞扫描，通过爬虫收集网站的所有链接及其参数请求，发送Payload进行漏洞探测。对于一些涉及逻辑判断，爬虫无法抓取的页面，则可以通过被动代理扫描，基于被动代理的漏洞扫描让扫描器成为了指哪打哪的利器。另外，但是有一些API或孤页，通过爬虫和人工点击是一一获取到的，这就需要基于日志/流量分析的漏洞扫描来解决这个问题。
1、AWVS
非常经典的Web扫描神器，入门必备。推荐指数：★★★★★
官方网站：
https://www.acunetix.comAWS10.5 以前的版本，提供的是有客户端和Web界面，不到50M的安装文件，界面简洁，扫描速度快，资源占用率低、扫描策略设置简单，客户端的各种辅助工具更是提供了强大的单兵作战能力。
我个人就是坚定的AWS10.5的拥护者，后来AWVS的web改版确实是有点不习惯了。
2、IBM AppScan
一款可与AWVS比肩的Web安全扫描工具， 推荐指数：★★★★
官方网站：
https://www.hcltechsw.com/products/appscan总体而言，扫描的效果还是不错的，准确度也相对高一些，扫描速度确实是有点慢。一般而言，通常我们可以对一个web站点同时使用AWVS和AppScan都进行检测，然后相互验证扫描效果，提高检测的准确率。
3、Goby
一款攻击面分析工具，推荐指数：★★★★★
官方网站：
https://gobies.org
4、Xray
一款强大的安全评估工具。推荐指数：★★★★
官方网站：
https://xray.coolxray 最好用的就是它的被动扫描模式，与burp进行联动更是一项绝活，让流量从Burp转发到Xray，所有的数据包透明，堪称指哪打哪的利器。
5、开源漏洞检测框架
以POC-T、pocsuite、pocscan、Osprey等为代表的开源项目，提供了可自定义的漏洞检测框架，Poc数量和质量，决定了检测效果，漏洞库的积累就显得尤为重要。
github项目地址：
POC-T：https: //github.com/Xyntax/POC-T pocsuite3：https: //github.com/knownsec/pocsuite3 pocscan：https: //github.com/erevus-cn/pocscan Osprey：https: //github.com/TophantTechnology/osprey开源的扫描器不计其数，复造轮子的人甚多，而真正能够成为神器的工具其实不多。
6、IAST 灰盒扫描工具
如果我们的定位是在SDL的安全测试过程中，相比起黑盒测试方案，IAST则是一种新的安全测试方案。一般会通过Agent插桩监测，无需重放请求、无脏数据，几乎达到0误报，无疑是实现自动化安全测试的最佳选择。
7、商业web应用扫描器
一些安全厂商提供了漏扫产品，不过在细分领域其实还有是一定区别的，比如有专门做Web应用安全扫描的，也有综合性漏洞扫描的，还有做Web安全监测的扫描产品，都有提供了一定的Web应用漏洞扫描的能力。
部分安全厂商及扫描产品汇总：
绿盟 绿盟WEB应用漏洞扫描系统(WVSS) 绿盟远程安全评估系统(RSAS) 启明 天镜脆弱性扫描与管理系统 安恒 Web应用弱点扫描器（MatriXay 明鉴远程安全评估系统 奇安信 网神SecVSS3600漏洞扫描系统 盛邦安全 web漏洞扫描系统（RayWVS） 远程安全评估系统（RayVAS) 斗象科技 ARS 智能漏洞与风险检测 长亭科技 洞鉴（X-Ray）安全评估系统 四叶草安全 全时风险感知平台以上，就是我们总结的比较常见的Web安全扫描工具，欢迎大家一起留言讨论。
--- EOF ---
黄飞鸿热炙理疗黄飞鸿热灸馆加盟项目,整店输出模式,专业热灸加盟技术培训,一个专业做中医养生的连锁品牌。源自黄飞鸿的嫡孙继承了黄飞鸿先生的遗志，多年来一直坚定不移地致力于大健康产业，并创立了黄飞鸿热灸馆；主要业务服务有黄飞鸿热炙理疗,黄飞鸿热炙理疗馆加盟,黄飞鸿理疗馆,黄飞鸿热灸,黄飞鸿养生馆加盟,黄飞鸿养生馆加盟,黄飞鸿热灸馆,黄飞鸿热灸体验馆,黄飞鸿热灸馆加盟,黄飞鸿热灸理疗馆,黄飞鸿热灸膏
tp钱包TokenPocket钱包支持数字资产存储。每天走势掌握，功能强大，在线管理数字货币，超多币种推送，多种交易方式，私钥用户自持且轻便易用的以太坊轻钱包。tp支持多资产类型，如：TokenPocket、ETH、QTUM、AE、BTM等大多数主流币种，让tp钱包更好地融入你的生活。
浙江丰安齿轮股份有限公司浙江丰安齿轮股份有限公司成立于1999年1月，是一家集开发、设计、制造、销售服务为一体的齿轮专业制造商，占地面积93亩，总资产3亿余元，主要设备400余台。公司于2017年1月在“新三板”挂牌，股票代码870508。公司以精湛的技术、过硬的品质、优良的服务来赢得客户满意，努力打造业界一流齿轮制造企业。
浙江中孚环境设备股份有限公司我公司系高新技术企业，专业从事空气净化的产品生产、工程服务及洁净技术的应用与研究，提供从空调处理设备、空调自动控制系统到洁净室系统全面服务，为各类工业用空气处理提供一揽子解决方案及交钥匙工程。 产品遍及全国几十个省市，并出口至巴基斯坦、伊朗等国家。我公司在化纤工艺空调领域精耕细作20余年，2001年进入医药、电子等行业的净化空调设备。 本公司拥有雄厚的技术力量和良好的售后服务，承接系统设计、技术咨询、产品制造、技术改造等项目。设备采用工业计算机、可编程序（PLC）控制器、数字直接控制器（DDC）等智能控制器，可实现节能显著的运行系统（节能策略有：新回风的焓值控制、二次回风、送风机的变频调速；非露点控制方案在过渡季节节能50%。在化纤纺丝行业采用的节能措施，同样可在医药行业的净化空调上使用）；采用与国际惯例接轨的CAD设计和质量保证体系。
江苏双友智能装备科技股份有限公司双友科技为客户提供直缝埋弧焊管生产线、直缝高频焊管生产线、螺旋埋弧焊管生产线、钢管内外防腐生产线，石油套管生产线，热处理生产线以及其他系列产品。同时公司致力于为高端铝业服务，为客户提供更为高效，节能，环保，安全的铸铝生产线及其相关设备。公司积极推进国际化发展战略，逐步实现品牌、市场、团队、技术、管理与国际化标准接轨。此外，公司与众多国际知名管材和铝材生产商建立了紧密的合作关系，在中东设立了海外分支机构。双友科技旨在将中国的高端制造带给世界。
南京三超新材料股份有限公司南京三超新材料股份有限公司成立于1999年1月，注册资本9360万元，2017年4月21日，在深圳创业板成功挂牌上市。占地面积130亩，建筑面积约86,000平方米。是一家专业从事金刚石、立方氮化硼工具的研发、生产与销售的高新技术企业，现拥有金刚石砂轮和金刚石线两大类相互协同的产品系列，应用于硅、蓝宝石、石英、铁氧体、钕铁硼、陶瓷、玻璃、硬质合金等硬脆材料的精密切割、磨削与抛光。 公司自成立以来，始终坚持＂以人为本、技术优先＂的发展理念，先后引入多名外籍专家，并在日本成立了超硬材料工具的专业研发机构。经过多年研发，公司成为国内最早通过自主研发掌握金刚线制造的相关技术，成功实现产业化的企业之一，并且打破了国外企业的技术垄断，与新研发成功的硅片背面减薄砂轮、硅片倒角砂轮、PAD修整器等产品，为半导体及太阳能光伏行业提供了优质的金刚石工具，并凭借良好的品质与高性价比，赢得了众多实力用户认可，在国内形成了较高的行业影响力。
