Burp Suite 是用于攻击web 应用程序的集成平台。它包含了许多工具，并为这些工具设计了许多接口，以促进加快攻击应用程序的过程。所有的工具都共享一个能处理并显示HTTP 消息，持久性，认证，代理，日志，警报的一个强大的可扩展的框架。
Proxy——是一个拦截HTTP /S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
Scanner——是一个高级的工具，执行后，它能自动地发现web应用程序的安全漏洞。
Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing技术探测常规漏洞。
Repeater——是一个靠手动操作来补发单独的HTTP请求，并分析应用程序响应的工具。
Sequencer——是一个用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
Decoder——是一个进行手动执行或对应用程序数据者智能解码编码的工具。
Comparer——是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的”异”。
Commix是一个适用于web开发者、渗透测试人员及安全研究者的自动化测试工具，可以帮助他们更高效的发现web应用中的命令注入攻击相关漏洞。Commix由Python编写。
HTTrack
是一个网站镜像工具，本来是用来抓取网站做离线浏览用的。但是HTTrack的爬虫特性和搜索引擎蜘蛛爬虫非常的像，这也逐渐应用到SEO（搜索引擎优化）工作中。其实这两种看似不同的爬虫做的都是同样的工作，就是复制网站并存储下来（网站在搜索引擎中的网页快照就是被存储下来的内容）.
OWASP Zap:ZAproxy是一个易于使用交互式的用于web应用程序漏洞挖掘的渗透测试工具。
ZAP即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。
ZAP除了提供了自动扫描工具还提供了一些用于手动挖掘安全漏洞的工具。
Paros是一种利用纯java语言开发的安全漏洞扫描工具，它主要是为了满足那些需要对自己的web应用程序进行安全检测的应用者而设计的。通过Paros的本地代理，所有在客户端与服务器端之间的http/https
数据信息，包括cookie和表单信息都将被拦截或者是修改。paros proxy，这是一个对Web 应用程序的
漏洞进行评估的代理程序，即一个基于Java的web 代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看HTTP/HTTPS,从而改变cookies 和表单字段等项目。它包括一个Web 通信记录程序，Web 圈套程序(spider)，hash 计算器，还有一个可以测试常见的Web 应用程序攻击(如SQL注入式攻击和跨站脚本攻击)的扫描器。该工具检查漏洞形式包括：SQL 注入、跨站点脚本攻击、目录遍历、CRLF -- Carriage-Return Line-Feed 回车换行等.
Skipfish是一个积极的Web应用程序的安全性侦察工具。 它准备了一个互动为目标的网站的站点地图进行一个递归爬网和基于字典的探头。 然后，将得到的地图是带注释的与许多活性（但希望非破坏性的）安全检查的输出。 最终报告工具生成的是，作为一个专业的网络应用程序安全评估的基础。
SQLmap是一款用来检测与利用SQL注入漏洞的免费开源工具，有一个非常棒的特性，即对检测与利用的自动化处理（数据库指纹、访问底层文件系统、执行命令）。注意：sqlmap只是用来检测和利用sql注入点的，并不能扫描出网站有哪些漏洞，使用前请先使用扫描工具扫出sql注入点。
w3af是一个Web应用程序攻击和检查框架.该项目已超过130个插件,其中包括检查网站爬虫,SQL注入(SQL Injection),跨站(XSS),本地文件包含(LFI),远程文件包含(RFI)等.该项目的目标是要建立一个框架,以寻找和开发Web应用安全漏洞,所以很容易使用和扩展.
WebScarab是一款代理软件,包括HTTP代理，网络爬行、网络蜘蛛， 会话ID分析，自动脚本接口，模糊测试工具，对所有流行的WEB格式的编码/解码，WEB服务描述语言和SOAP解析器等。WebScarab基于 General Public License(GNU)版本协议。和Paros 一样是用JAVA编写的，因此安装它需要JRE.
WebScarab的HTTP代理提供了预期的功能（包括HTTPS拦截，不过和PAROS一样有认证报警）。WebScarab也提供了一些花哨的功能，比如SSL客户认证支 持，十六进制或URL编码参数的解码，内置的会话ID分析和一键式“完成该会话”以增加效率等。就基本功能而言，WebScarab和PAROS差不多， 但WebScarab为更懂技术的用户提供了更多的功能，并提供了对隐藏的底层更多的访问。但是，由于PAROS更简单，我们仍推荐学者在开始时使用它。此工具是WebGoat中所使用的工具之一.
WPScan是一款针对wordpress的安全扫描软件；WPScan可以扫描出wordpress的版本，主题，插件，后台用户以及爆破后台用户密码等
