关于web安全

最近项目在做渗透测试工具都是破解版的Fortify , Burp Suite, 据说集团买的正版的100w... 一哥们说公司的项目bug代码与正常代码已经达到了1.5:1, 前5年写的代码接下来的5年也改不完...心想太扯淡了.

安全 越来越受重视, 代码的功能只能算作工程的一部分了, 可丁可卯四个字真是恰如其分.网上看了一点web安全方面的推荐书籍, 白帽子那本比较受欢迎, 那人也特地买了一本. web开发人员必须做到对自己的代码安全负责.

======================================正文分割线=======================================

update: 2013/10/10

Firefox下

1. 1. 
      
2. Firebug，调试js，HTTP请求响应观察，Cookie，DOM树观察等；
3. GreaseMonkey，自己改了个Cookie修改脚本，其他同学可以用这款：​​Original Cookie Injector for Greasemonkey​​；
4. Noscript，进行一些js的阻断；
5. AutoProxy，FQ必备；
   1. 
      

Chrome下

1. 1. 
      
2. F12打开开发者工具，功能==Firebug+本地存储观察等；
3. SwichySharp，FQ必备；
4. Cookie修改脚本，自己写了一个Chrome扩展（已开源：​​Cookie利用神器：CookieHacker​​），其他同学可以自己到Chrome扩展搜个好用的；
   1. 
      

前端渗透工具

1. 1. 
      
2. ​​XSS’OR​​​，我开发的，常用其中加解密与代码生成，源码放到了这：​​evilcos/xssor · GitHub​​；
3. ​​XSSEE 3.0 Beta​​，Monyer开发的，加解密最好用神器；
4. ​​Online JavaScript beautifier​​，js美化工具，分析js常用；
5. 前端攻击框架，推荐BeEF及一些小伙伴开发的XSS盲打工具，我自己也有款，不过不轻易示人；
   1. 
      

HTTP代理工具

1. 1. 
      
2. Fiddler，即可，不用再寻找其他的了，其中的watcher插件可以玩玩，找漏洞的；
3. Burp Suite，神器，不仅HTTP代理，还有爬虫、漏洞扫描、渗透、爆破等功能；
   1. 
      

漏洞扫描工具

1. 1. 
      
2. AWVS，不仅漏扫方便，自带的一些小工具也好用；
3. Python自写脚本/工具，好漏洞是你用AWVS等就能发现的？洗洗睡吧；
4. Nmap，绝对不仅仅是端口扫描！几百个脚本；
   1. 
      

漏洞利用

1. 1. 
      
2. sqlmap，SQL注入利用最牛神器，没有之一；
3. Metasploit，主机渗透框架，而Web层面上的就是知道创宇里的一些好玩意了（我可能在吹牛）；
4. 一些社工平台，好的都匿了；
5. Hydra，爆破必备；
   1. 
      

抓包工具

1. 1. 
      
2. Wireshark，抓包必备；
3. tcpdump，Linux下命令行抓包，结果可以给Wireshark分析；
   1. 
      

大数据平台

1. 1. 
      
2. ZoomEye，知道创宇开放的一个网络空间搜索引擎，搜搜组件就知道：​​ZoomEye（钟馗之眼）​​，可以认为我在广告；
3. SHODAN， 老外开放的一个网络空间搜索引擎，搜搜主机设备就知道：​​SHODAN – Computer Search Engine；​​
4. Google，：）
   1. 
      

更多自己看看Kali Linux（老的是：BackTrack）。

节省生命推荐：熟练Linux众多命令+Vim。

作者：习惯沉淀

如果文中有误或对本文有不同的见解，欢迎在评论区留言。