Tôi đã nghe nói rằng có một số ứng dụng miễn phí sẽ kiểm tra lỗ hổng của một trang web PHP, nhưng tôi không biết phải sử dụng cái gì. Tôi muốn một chương trình miễn phí (tốt nhất là với một GUI) cho Windows sẽ phân tích trang web của tôi một báo cáo cho tôi.Tôi làm cách nào để kiểm tra bảo mật trang web miễn phí?
Bất kỳ ai biết giải pháp?
Chỉ có một số lỗ hổng bảo mật nhất định mà bạn có thể kiểm tra với bất kỳ chương trình nào. Bạn có thể kiểm tra cấu hình PHP, cấu hình Apache, mật khẩu, lỗi phổ biến, v.v. nhưng bạn thực sự không thể kiểm tra các lỗi logic có thể gây ra lỗ hổng bảo mật.
Đặt cược tốt nhất của bạn sẽ là xem xét kỹ lưỡng mã của trang web. Hoặc, tốt hơn, có một số người khác làm một đánh giá mã toàn diện của trang web, tìm kiếm lỗ hổng bảo mật.
Top 10 Web Vulnerability Scanners từ Insecure.org (danh sách từ năm 2006). Số một của họ, Nikto2, có thể được tìm thấy here.
Khác một bản phát hành miễn phí kể từ đó là tệp http://fish.google.com/p/skipfish/ – Cheekysoft
Skipfish zip của Google trống rỗng – Codebeat
@Erwinus vừa thử tải xuống và nó hoạt động với tôi – tvanfosson
Tôi hơi muộn một chút, nhưng vì bạn đã yêu cầu các máy quét dễ sử dụng và không kỹ thuật, hãy xem Golem Technologies website security scanner - quá trình quét hoàn toàn không miễn phí, nhưng chúng có bản trình diễn quét mà kiểm tra khoảng 10% của một trang web và sẽ bắt được rất nhiều lỗ hổng phổ biến.
Netsparker Community Edition thực hiện điều đó và hoàn toàn miễn phí (GUI + Windows).
Tôi đã sử dụng netsparker trước đây. Nó có khả năng sử dụng tuyệt vời. – Haluk
Đây là một khác, nhưng như đã nói trước đây, không có gì nhịp đập một con mắt giao chuyên nghiệp:
thời gian gần đây tôi thấy Detectify mà dường như để thực hiện một quét đàng hoàng và có đẹp UI. Họ làm việc trên cơ sở quyên góp có nghĩa là bạn nên quyết định số tiền bạn có thể chi tiêu.
Chúng tôi bao gồm OWASP Top 10 Điều đó có nghĩa chúng ta tìm thấy một loạt các sai sót, bao gồm SQL, LDAP, XPATH và tiêm NoSQL, lỗ hổng Cross Site Scripting, quản lý phiên bị hỏng, mã từ xa và thực hiện lệnh vv
Chỉ một trong số rất nhiều, nhưng mới hơn (so với tuổi của câu hỏi): [OWASP Zed Attack Proxy Project] (https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project) – hakre