在國內(nèi)一些網(wǎng)站上經(jīng)?？吹轿恼抡f某某WEB應(yīng)用安全評估工具排名，但是很可惜，絕大多數(shù)都是國外人搞的，界面是英文，操作也不方便，那就在這里綜合下，列舉下國內(nèi)WEB安全評估人員常用的一些工具。當(dāng)然，毫無疑問的，幾乎都是商業(yè)軟件，并且為了描述更準確，盡量摘取其官方網(wǎng)站的說明：
同時說明下：本排序不代表本人眼中的廠商或工具實力排名。
1. Rational AppScan
IBM公司推出的IBM Rational AppScan產(chǎn)品是業(yè)界領(lǐng)先的應(yīng)用安全測試工具，曾以 Watchfire AppScan 的名稱享譽業(yè)界。Rational AppScan 可 Web 應(yīng)用的安全漏洞評估工作，能掃描和檢測所有常見的 Web 應(yīng)用安全漏洞，例如 SQL 注入(SQL-injection)、跨站點腳本攻擊(cross-site scripting)及緩沖溢出(buffer overflow)等方面安全漏洞的掃描。
游俠標注：AppScan不但可以對WEB進行安全評估，更重要的是導(dǎo)出的報表相當(dāng)實用，也是國外產(chǎn)品中唯一可以導(dǎo)出中文報告的產(chǎn)品，并且可以生成各種法規(guī)遵從報告，如 27001、OWASP 2007等。
2. WebInspect
目前，許多復(fù)雜的 Web 應(yīng)用程序全都基于新興的 技術(shù)，HP WebInspect 可以對這些應(yīng)用程序執(zhí)行 Web 應(yīng)用程序安全測試和評估。HP WebInspect 可提供快速掃描功能、廣泛的安全評估范圍及準確的 Web 應(yīng)用程序安全掃描結(jié)果。
它可以識別很多傳統(tǒng)掃描程序檢測不到的安全漏洞。利用創(chuàng)新的評估技術(shù)，例如同步掃描和審核 (simultaneous crawl and audit, SCA) 及并發(fā)應(yīng)用程序掃描，您可以快速而準確地自動執(zhí)行 Web 應(yīng)用程序安全測試和 Web 服務(wù)安全測試。
主要功能：
·利用創(chuàng)新的評估技術(shù)檢查 Web 服務(wù)及 Web 應(yīng)用程序的安全
·自動執(zhí)行 Web 應(yīng)用程序安全測試和評估
·在整個生命周期中執(zhí)行應(yīng)用程序安全測試和協(xié)作
·通過最先進的用戶界面輕松運行交互式掃描
·滿足法律和規(guī)章符合性要求
·利用高級工具 (HP Security Toolkit) 執(zhí)行滲透測試
·配置以支持任何 Web 應(yīng)用程序環(huán)境
標注：毫無疑問的，WebInspect的掃描速度相當(dāng)讓人滿意。
3.Acunetix Web Vulnerability Scanner
Acunetix Web Vulnerability Scanner是一款自動的Web應(yīng)用安全性測試工具，它能夠通過發(fā)現(xiàn)Web應(yīng)用的Hacking弱點來監(jiān)測你的網(wǎng)站。自動掃描能夠更快速有效的對你的網(wǎng)站和Web應(yīng)用進行深度測試。
大約有70%的網(wǎng)站存在安全隱患，這些漏洞可能會導(dǎo)致信用卡信息或客戶列表等敏感的公司數(shù)據(jù)被盜。
對web應(yīng)用hacking來說，，和鎖定的幾乎是無用的。
從80/443端口發(fā)起的針對web application的攻擊，能夠直接穿過防火墻，越過和網(wǎng)絡(luò)級的安全措施，到達您的應(yīng)用的心臟和數(shù)據(jù)。類的web應(yīng)用通常都沒用作足夠的測試，有隱藏的弱點，及易受到攻擊。
Acunetix具有領(lǐng)先的web應(yīng)用安全掃描技術(shù)：我們的工程師從1997年開始就專注于網(wǎng)站分析和弱點偵測。Acunetix Web Vulnerability Scanner包括許多開創(chuàng)性的功能：
·自動的Javascript分析器可以測試Ajax和Web2.0的應(yīng)用，
·行業(yè)內(nèi)最先進，最深入的SQL注入和跨站點腳本測試，
·Visual macro recorder使Web form和密碼保護區(qū)域測試更容易，
·擴展的報表工具包括VISA PCI compliance報表，
·多線程和快速掃描工具能夠輕松檢驗成千上萬的頁面，
·智能的Crawler能夠探測的種類和應(yīng)用的編程語言，
·Acunetix 可以探測和分析網(wǎng)站上的Flash內(nèi)容，SOAP和AJAX。
4.綠盟極光遠程安全評估系統(tǒng)-Web應(yīng)用掃描
綠盟遠程安全評估系統(tǒng)Web應(yīng)用掃描增強模塊，是綠盟科技研究團隊多年深入研究當(dāng)前各種流行的Web攻擊手段的技術(shù)結(jié)晶，是專門面向 Web 應(yīng)用安全管理員進行專業(yè)安全評估及檢測的自動化工具?？梢赃M行Web應(yīng)用、Web 服務(wù)及支撐系統(tǒng)等多層次全方位的安全漏洞掃描、審計和輔助邏輯分析，全面發(fā)現(xiàn)各類安全隱患，提出針對性的修復(fù)建議，以及形成多種符合法規(guī)、行業(yè)標準的報告。
5.安恒信息MatriXay明鑒WEB應(yīng)用弱點掃描器
明鑒WEB應(yīng)用弱點掃描器(簡稱：MatriXay 3.6)是安恒安全專家團隊在深入分析研究B/S架構(gòu)應(yīng)用系統(tǒng)中典型安全漏洞以及流行攻擊技術(shù)基礎(chǔ)上研制而成，該產(chǎn)品1.0版本于2006年8月世界安全大會BlackHat和Def-Con上首次發(fā)布，2.0版本于2007年12月 發(fā)布，并在08奧運WEB安全保障中發(fā)揮了重要的作用。與市場上同類產(chǎn)品的不同之處在于：不僅具有非凡的掃描功能，還提供了強大的滲透測試、網(wǎng)頁檢測功能。因此，被評價為“最佳的WEB安全評估工具”。
作為公安部等級保護測評中心專用應(yīng)用安全測評工具，安全中心運營商安全Web和安全檢查工具，MatriXay 3.6 (2009版)可以幫助用戶充分了解WEB應(yīng)用存在的安全隱患，建立安全可靠的WEB，改善并提升應(yīng)用系統(tǒng)抗各類WEB應(yīng)用攻擊的能力(如：注入攻擊、跨站腳本、釣魚攻擊、信息泄漏、惡意編碼、表單繞過、緩沖區(qū)溢出等)。
6.安域領(lǐng)創(chuàng)WebRavor
新一代應(yīng)用安全掃描工具WebRavor，全面超越現(xiàn)有的此類工具，是目前世界上最好的商業(yè)級安全產(chǎn)品，被客戶評價為“技術(shù)和藝術(shù)的完美結(jié)晶”，并且已經(jīng)取得多項專利保護(200920105886.0/200910078545.3)。
安域領(lǐng)創(chuàng)的團隊具有豐富的實施和規(guī)劃經(jīng)驗，從2001年開始就參與規(guī)劃和實施多種類型的安全咨詢和服務(wù)項目，遍及政府、金融、電信、移動、等國內(nèi)各大行業(yè)客戶。
WebRavor是在深入研究分析WEB應(yīng)用系統(tǒng)中典型安全漏洞及流行攻擊技術(shù)的基礎(chǔ)上，由國內(nèi)頂尖團隊開發(fā)的一款WEB應(yīng)用安全評估產(chǎn)品。研發(fā)及測試時間歷經(jīng)4年，經(jīng)過10萬多個真實系統(tǒng)的測試，是目前業(yè)界最強悍的專注于WEB應(yīng)用安全弱點的評估工具。
WebRavor在2006年8月的世界安全大會BlackHat和Def—Con上發(fā)布后，被評價為“最佳的WEB安全評估工具”。
游俠標注：WebRavor的作者是中國第一代的代表人物，寫“流光”的作者“小榕”。
7.諾賽科技Jsky/Pangolin
JSky Web應(yīng)用安全漏洞掃描系統(tǒng)是一款簡明易用的自動化Web漏洞掃描與漏洞利用平臺。幫你發(fā)現(xiàn)并解決現(xiàn)有Web系統(tǒng)中存在的安全隱患;杜絕黑客攻擊;保護企業(yè)核心資產(chǎn)。
諾賽科技為您提供專業(yè)且全面的安全解決。JSky作為自動化的Web應(yīng)用漏洞掃描軟件模擬“攻擊者”給你全方位的視角和完善的建議。讓你對者的操作一目了然，從而制定有針對性的防護方案。
JSky不只是告訴您這里有漏洞，同時也能通過實際操作告訴您這種漏洞會導(dǎo)致什么樣的后果：企業(yè)會否由于該漏洞發(fā)生數(shù)據(jù)泄漏？數(shù)據(jù)丟失？網(wǎng)站掛馬？無論您后臺數(shù)據(jù)庫是MSSQL、、抑或是大型的、Informix、DB2系統(tǒng)，我們都能通過簡單的操作進行深入的滲透測試。包括讀系統(tǒng)敏感文件、寫文件、讀取數(shù)據(jù)庫信息、執(zhí)行系統(tǒng)命令、權(quán)限提升、上傳木馬后門等等一系列的操作。
向?qū)降牟僮鳎茏屇查g成為Web應(yīng)用安全專家。
游俠標注：諾賽科技有大牛zwell的支撐，同時有Pangolin穿山甲SQL注入評估軟件、iiScan在線WEB安全評估平臺，也是非常有實力的公司。
8.知道創(chuàng)宇“知道網(wǎng)站安全體檢中心”
知道創(chuàng)宇成立于2007年，是中國唯一全球安全服務(wù)提供商。知道創(chuàng)宇專注于WEB安全，致力于提供產(chǎn)品、技術(shù)、服務(wù)來改善日益惡化的中國安全環(huán)境。
知道網(wǎng)站安全體檢中心(在線WEB安全評估系統(tǒng))：
·網(wǎng)站內(nèi)容監(jiān)控：出現(xiàn)敏感關(guān)鍵字立刻通知您!
·免費掛馬監(jiān)控：第一時間向您發(fā)出掛馬警告!
·網(wǎng)站安全檢測：SQL注入、XSS跨站漏洞檢測!
·屏蔽通知：發(fā)站被谷歌屏蔽向您發(fā)出報警!
·ICP 備案檢測：對的完整性進行檢驗!
9.智恒聯(lián)盟WebPecker網(wǎng)站整體威脅檢測系統(tǒng)
“網(wǎng)站啄木鳥”是北京智恒聯(lián)盟科技有限公司技術(shù)研究團隊多年深入研究當(dāng)前各類流行Web攻擊手段(如網(wǎng)頁掛馬攻擊、SQL注入漏洞、跨站腳本攻擊等)的經(jīng)驗結(jié)晶。該系統(tǒng)是目前國內(nèi)最早的一款商業(yè)化Web安全檢查系統(tǒng)，通過本地檢測技術(shù)與遠程檢測技術(shù)相結(jié)合，對網(wǎng)站進行全面的、深入的、徹底的風(fēng)險評估，綜合性的規(guī)則庫(本地漏洞庫、ActiveX庫、網(wǎng)頁木馬庫、網(wǎng)站代碼審計規(guī)則庫等)以及業(yè)界最為領(lǐng)先的智能化爬蟲技術(shù)及SQL注入狀態(tài)檢測技術(shù)，使得相比國內(nèi)外同類產(chǎn)品智能化程度高，速度快，誤報率極低。
經(jīng)過數(shù)百個用戶的實踐證明，“網(wǎng)站啄木鳥”是Web安全性價比最高的產(chǎn)品，相比國外的Web安全掃描產(chǎn)品來說，速度快，具備緊密跟蹤國內(nèi)最頁木馬的快速響應(yīng)及更新能力;相比國內(nèi)的Web安全掃描產(chǎn)品來說，功能多，結(jié)果準，該系統(tǒng)是我國等級保護測評以及網(wǎng)站安全保密檢查必備軟件系統(tǒng)。
10. Syhunt Sandcat
Sandcat是一款遠程網(wǎng)絡(luò)應(yīng)用程序安全評估掃描器。它允許你以黑客的視角掃描最常見的網(wǎng)絡(luò)應(yīng)用程序缺陷。Sandcat在遠程分析WEB應(yīng)用程序存在的問題，包括但不僅限于：如：SQL注入、XSS等。
SandCat有Free版和Pro版，前者可以免費下載。
除了上述產(chǎn)品，其實國內(nèi)、國外還有很多不錯的產(chǎn)品或服務(wù)，如：Safe3 Web Vul Scanner、啟明星辰安星遠程網(wǎng)站安全檢查服務(wù)、發(fā)布的開源WEB掃描器Skipfish、Watcher、N-Stealth等。