Wapiti 轻量级网页安全漏洞扫描工具

Wapiti是Web应用程序漏洞错误检查工具。它具有“暗箱操作”扫描，即它不关心Web应用程序的源代码，但它会扫描网页的部署，寻找使其能够注入数据的脚本和格式。它用于检测网页，看脚本是否脆弱的。Wapiti是一个开源的安全测试工具，可用于Web应用程序漏洞扫描和安全检测，可到http://sourceforge.net/projects/wapiti/下载。 开发语言： Python 软件主页： http://www.ict-romulus.eu/web/wapiti/home 下载地址： http://sourceforge.net/projects/wapiti/Wapiti是用Python编写的脚本，使用它需要Python的支持，也就是说要先安装好Python。 Wapiti执行的是“黑盒”方式的扫描，也就是说直接对网页进行扫描，而不需要扫描Web应用程序的源代码。Wapiti通过扫描网页的脚本和表单，查找可以注入数据的地方，Wapiti能检测以下漏洞： 功能和特点 文件处理错误(本地和远程打开文件，readfile … ) 数据库注入(PHP/JSP/ASP，SQL和XPath注入) XSS(跨站点脚本)注入 LDAP注入 命令执行检测(eval(), system(), passtru()…) CRLF注射入(HTTP响应，session固定… ) 统计漏洞数量 成功袭击的细节 漏洞详细信息 提供解决漏洞的方法 HTML报告格式 XML报告格式之所以把Wapiti称之为轻量级，是因为它的安全检测过程不需要依赖漏洞数据库，因此执行的速度会更快些。 Wapiti给我的感觉是“What a pity！”的意思，一个功能完整的Web应用，如果在安全方面有漏洞的话，就真的是“What a pity！”