关于web安全
最近项目在做渗透测试工具都是破解版的Fortify , Burp Suite, 据说集团买的正版的100w... 一哥们说公司的项目bug代码与正常代码已经达到了1.5:1, 前5年写的代码接下来的5年也改不完...心想太扯淡了.
安全 越来越受重视, 代码的功能只能算作工程的一部分了, 可丁可卯四个字真是恰如其分.网上看了一点web安全方面的推荐书籍, 白帽子那本比较受欢迎, 那人也特地买了一本. web开发人员必须做到对自己的代码安全负责.
以下为测试工具相关的转载正文:https://evilcos.me/?p=336, 作为了解的入门吧.
======================================正文分割线=======================================
update: 2013/10/10
Firefox下
- Firebug,调试js,HTTP请求响应观察,Cookie,DOM树观察等;
- GreaseMonkey,自己改了个Cookie修改脚本,其他同学可以用这款:Original Cookie Injector for Greasemonkey;
- Noscript,进行一些js的阻断;
- AutoProxy,FQ必备;
Chrome下
- F12打开开发者工具,功能==Firebug+本地存储观察等;
- SwichySharp,FQ必备;
- Cookie修改脚本,自己写了一个Chrome扩展(已开源:Cookie利用神器:CookieHacker),其他同学可以自己到Chrome扩展搜个好用的;
前端渗透工具
- XSS’OR,我开发的,常用其中加解密与代码生成,源码放到了这:evilcos/xssor · GitHub;
- XSSEE 3.0 Beta,Monyer开发的,加解密最好用神器;
- Online JavaScript beautifier,js美化工具,分析js常用;
- 前端攻击框架,推荐BeEF及一些小伙伴开发的XSS盲打工具,我自己也有款,不过不轻易示人;
HTTP代理工具
- Fiddler,即可,不用再寻找其他的了,其中的watcher插件可以玩玩,找漏洞的;
- Burp Suite,神器,不仅HTTP代理,还有爬虫、漏洞扫描、渗透、爆破等功能;
漏洞扫描工具
- AWVS,不仅漏扫方便,自带的一些小工具也好用;
- Python自写脚本/工具,好漏洞是你用AWVS等就能发现的?洗洗睡吧;
- Nmap,绝对不仅仅是端口扫描!几百个脚本;
漏洞利用
- sqlmap,SQL注入利用最牛神器,没有之一;
- Metasploit,主机渗透框架,而Web层面上的就是知道创宇里的一些好玩意了(我可能在吹牛);
- 一些社工平台,好的都匿了;
- Hydra,爆破必备;
抓包工具
- Wireshark,抓包必备;
- tcpdump,Linux下命令行抓包,结果可以给Wireshark分析;
大数据平台
- ZoomEye,知道创宇开放的一个网络空间搜索引擎,搜搜组件就知道:ZoomEye(钟馗之眼),可以认为我在广告;
- SHODAN, 老外开放的一个网络空间搜索引擎,搜搜主机设备就知道:SHODAN – Computer Search Engine;
- Google,:)
更多自己看看Kali Linux(老的是:BackTrack)。
节省生命推荐:熟练Linux众多命令+Vim。
作者:习惯沉淀
如果文中有误或对本文有不同的见解,欢迎在评论区留言。
如果觉得文章对你有帮助,请点击文章右下角【推荐】一下。您的鼓励是博主的最大动力!
扫码关注一线码农的学习见闻与思考。
回复"大数据","微服务","架构师","面试总结",获取更多学习资源!