在實際的工作中，軟件測試工程師有時也要進行一些安全類的測試，下面給大家介紹一些有名的、好用的安全測試工具，方便大家的工作。

　　1.Nmap

　　nmap也稱上帝之眼，是一個網絡掃描軟件，用來掃描網絡主機及開放的端口。是網絡管理員的必備軟件，也被黑客廣泛使用，用來搜集目標電腦的網絡信息，查找入侵的可能。

　　2.BurpSuite

　　BurpSuite是一個集成了眾多黑客工具的滲透測試平臺，用于攻擊Web應用系統，支持自動化或手工操作來完成對web應用系統的滲透測試和攻擊。使用BurpSuite會讓滲透測試工作變得更加容易、方便和高效。

　　3.SQLmap

　　SQLMap是一款自動化SQL注入工具，其主要功能利用給定的漏洞進行SQL注入測試。支持Oracle、MySQL、MicrosoftSQLServer、PostgreSQL、DB2、SQLite、Sybase等多款數據庫產品。其功能包括了數據庫枚舉、數據提取、訪問文件系統，獲取目標管理權限后執行各種命令。

　　SQLMap有其特別的SQL注入技術。如基于布爾類型的盲注、基于時間的盲注、基于報錯注入、聯合查詢注入。

　　4.Aircrack-ng

　　也稱空襲，是當前流行的網絡安全測試工具，帶有多款實用程序，可對WiFi網絡進行檢測。

　　該工具可使用統計方法來破解WEP和蠻力攻擊來破解WPA-PSK。包括檢測器，數據包嗅探器，分析工具以及WEP和WPA/WPA2-PSK破解程序

　　5.Nessus

　　Nessus是全世界使用最多、最成熟的網絡漏洞掃描工具。內部帶有龐大的漏洞庫，并會不斷更新。

　　特點：

　　1.Nessus是C/S架構的，可在本機或遠程控制

　　2.可安裝第三方插件

　　3.完全支持HTTPS

　　使用Nessus可以改善計算機的安全狀況，還支持敏感數據發現，可幫助進行漏洞分析。

　　6.Wifiphisher

　　Wifiphisher是一個偽造惡意接入點的工具，能夠對WPA加密的WiFi及無線熱點實施自動化釣魚攻擊，獲取密碼賬戶。由于利用了社工原理實施中間人攻擊，Wifiphisher在實施攻擊時無需進行暴力破解。

　　Wifiphiser攻擊步驟：

　　1.Wifiphisher會向指定WiFi的所有客戶端持續發送解除認證數據包

　　2.Wifiphisher會探索附近WiFi并偽造，受攻擊者登錄偽造的WiFi

　　3.Wifiphisher向受攻擊者推送一個以假亂真的路由器配置頁面，要求重新輸入和確認WPA密碼。

　　7.HashCat

　　Hashcat是黑客們使用的一種流行的開源密碼破解工具。

　　首先，Hashcat會猜測一個密碼，并對其進行哈希處理，然后將處理所生成的哈希值與真實的密碼哈希值進行比較。如果相等，則猜出了密碼。

　　Hashcat的其他功能：

　　1.可以同時破解多個哈希值

　　2.支持自動的性能調整以及空間排序

　　3.支持十六進制

　　4.支持分布式破解

　　8.Metasploit

　　Metasploit是一個開源免費的安全測試框架，可以輕易的獲取、開發并對漏洞實施攻擊。其本身附帶數百個已知漏洞的攻擊工具。2003年Metasploit一經發布，仿佛任何人都可以成為黑客，任何人都可以使用Metasploit攻擊漏洞。

　　9.KaliLinux

　　KaliLinux是基于Debian的Linux發行版，設計用來進行數字取證操作系統，現已成為網絡滲透測試的必備平臺。

　　KaliLinux預裝了超過300個滲透測試軟件，包括nmap、Wireshark、JohntheRipper以及Aircrack-ng等安全工具，涵蓋信息收集、脆弱性分析、開發工具、無線攻擊、取證工具、Web應用程序、壓力測試、嗅探和欺騙、密碼攻擊、維護訪問權限、硬件攻擊、逆向工程等領域。

　　KaliLinux有32位和64位的鏡像。可用于x86指令集。同時還有基于ARM架構的鏡像，可用于樹莓派和三星的ARM。

　　特性：

　　1.永久免費

　　2.遵循FHS，Kali的開發遵循Linux目錄結構標準，用戶可以像使用Linux一樣方便的使用kali

　　3.支持大量無線設備，能兼容大量USB和其它無線設備

　　4.多語言，雖然滲透工具趨向于英語，但仍然支持多語言

　　10.IBM AppScan

　　AppScan是IBM一款收費的Web安全掃描工具。該軟件內置強大的掃描引擎，利用爬蟲技術進行網站安全滲透測試，可以測試和評估Web服務和應用程序的風險檢查，掃描之后會提供掃描報告和修復建議等。

　　特點：

　　1.有自己的用例庫，版本越新用例庫越全

　　2.支持當前行業所采用的各種Web應用的技術，以確保URL的完整性

　　3.專業的技術團隊維護最全面的規則庫，也提供了業界最快的漏洞庫更新頻率

　　4.通過內置的漏洞管理流程，可以跟蹤漏洞的狀態

　　5.提供了一系列報告功能，包括存從性檢查，可以檢查40多種國際行業標準和法規

　　6.內置漏洞培訓指導，講解每個漏洞的詳細形成原理、過程，并演示了驗證、修復等內容，從而可以幫助客戶的技術人員提升安全防范能力和水平。