Web笔测试建议-工具和外部承包商建议[关闭]

Question

我不确定这是否适合SO，但是我不确定，我还是继续。

我一直在研究当前项目的笔测试工具，并且找到了很多工具，但最终，认真对待并寻求专业从事此类工作的专业组织或个人并没有摆脱困境。

寻找工具的原因仅仅是为了让我能够在开始整个测笔测试周期之前摘下那些低落的果实。 这也有望使该过程更便宜，因为我希望已解决了所有明显的漏洞。

工具与资源

• BurpSuite
• IBM AppScan
• nmap.org
• 尼克托

组织与个人

我想知道是否有任何资源可以评估执行这些任务的组织？ 是否有任何组织可以建议您以前使用过且效果良好的组织？

Answer 1

@Jammer，我不确定您是否正在寻找这样的评级。 我个人的观点是，研究您的要求，无论您是要寻求认证还是合规性，或者只是想提高安全性。 根据这些标准，您可以查看渗透测试组织并自行进行评估。 此链接可能会有所帮助，

http://www.ivizsecurity.com/blog/penetration-testing/how-to-choose-penetration-testing-companies/

无论如何，在选择第三方供应商或拥有自己的安全团队之间总会有取舍。 您可以进行第三方咨询，然后拥有自己的内部受过安全教育的质量检查小组。

希望这可以帮助。

Answer 2

恐怕您列出的某些工具具有可比性。

Burp是代理扫描器工具。 您可以使用burp拦截流量，并在发送到服务器之前处理请求。 专业版具有针对您发送扫描仪的特定请求的扫描仪

Nikto和Appscan是自动扫描仪。 最后，您需要消除误报，也可能会产生误报结果。

nmap是使用脚本引擎进行端口扫描，ftp，snmp等相关搜索的联网工具的强大工具。

此外，使用自动化工具不会降低您的渗透测试成本。 因为在任何情况下，您都应先进行渗透测试服务，然后再将其公开。

降低安全成本不是一个好主意，而是最好雇用具有安全编码背景的开发人员或将安全的开发生命周期应用于您的开发环境。

如果您还有其他疑问，请开枪。