《電子技術(shù)應(yīng)用》
您所在的位置:首頁 > 通信與網(wǎng)絡(luò) > 業(yè)界動(dòng)態(tài) > 2022年全球白帽常用工具排行榜TOP 10

2022年全球白帽常用工具排行榜TOP 10

2022-10-25
來源:FreeBuf
關(guān)鍵詞: 白帽 top10

雖然此時(shí)還未到2022年年底,,但并不妨礙我們整理一份2022年全球白帽常用的工具榜單,,希望能給白帽們和企業(yè)安全人員們帶來一定的借鑒和參考,。

一方面,工具的重要性不言而喻,,各大SRC的白帽們也有深刻的切身體會(huì)。一個(gè)好用且靠譜的工具帶來的提升,,猶如呂布之胯下赤兔馬,,孫行者之手中金箍棒,可起到事半功倍的效果,,進(jìn)一步放大白帽原有的技術(shù)實(shí)力,,有效提升漏洞挖掘的效率。

另一方面,,全球網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻,,各種高級(jí)安全威脅事件頻頻發(fā)生,攻擊方法趨于智能化,、隱蔽化,,攻擊手段趨于自動(dòng)化、工具化,,導(dǎo)致企業(yè)安全壓力倍增,。唯有工具才能對(duì)抗工具,唯有智能才能對(duì)抗智能,,更好地使用工具可幫助我們不斷強(qiáng)化企業(yè)安全體系,。

幾十年來,,攻擊方、白帽和安全從業(yè)者的工具不斷演進(jìn),,成為網(wǎng)絡(luò)安全長(zhǎng)河中最具技術(shù)特色的燈塔,,并在一定程度上左右著網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展和演進(jìn)的方向,成為不可或缺的關(guān)鍵要素之一,。

話不多說,,2022年全球白帽常用工具排行榜TOP 10如下:

1、Burp Suite

Burp Suite是Web應(yīng)用程序測(cè)試的最佳工具之一,,其多種功能可以幫助白帽子們處理各種任務(wù),,包括請(qǐng)求的攔截和修改、掃描web應(yīng)用程序漏洞,、暴力破解登陸表單等,。Burp Suite設(shè)置了眾多接口,以便可加快安全人員滲透測(cè)試的過程,。所有工具都共享一個(gè)請(qǐng)求,,并能處理對(duì)應(yīng)的HTTP 消息、持久性,、認(rèn)證,、代理、日志,、警報(bào),。

對(duì)于白帽們來說,Burp Suite的功能既全又強(qiáng),,其中包含的Proxy代理,、Repeater(改包,重放),、Intruder(爆破),、Target、position,、Payloads等模塊十分好用,,堪稱滲透測(cè)試、漏洞挖掘必備良品,。2022年,,Burp Suite最新版已經(jīng)發(fā)布。

2,、Acunetix

Acunetix是一種自動(dòng)化工具,,最早可追溯至1997年,其目的是為了對(duì)網(wǎng)站的弱點(diǎn)進(jìn)行分析和檢測(cè)。經(jīng)過多年的發(fā)展和完善,,Acunetix在Web安全工具中有著重要的地位,,能夠自動(dòng)測(cè)試網(wǎng)站和Web應(yīng)用程序,發(fā)現(xiàn)SQL注入,、XSS,、XXE,、SSRF等數(shù)千種Web應(yīng)用程序漏洞,,其獨(dú)特的 AcuSensor 技術(shù)會(huì)準(zhǔn)確地指出代碼中的漏洞所在,并報(bào)告額外的調(diào)試信息,。

作為網(wǎng)站審計(jì)的一部分,,Acunetix 的在線版本將對(duì)托管網(wǎng)站的服務(wù)器執(zhí)行網(wǎng)絡(luò)安全審計(jì)。此網(wǎng)絡(luò)安全掃描將通過在系統(tǒng)上運(yùn)行端口掃描來識(shí)別在掃描服務(wù)器上運(yùn)行的任何服務(wù),。Acunetix 將報(bào)告檢測(cè)到的操作系統(tǒng)和托管服務(wù)的軟件,。此過程還將識(shí)別可能潛伏在服務(wù)器上的木馬。

AcuSensor部署快速且拓展十分方便,,可以被安裝到預(yù)編譯的,。 net 和 JAVA 程序集中,不需要,。 net 或 JAVA 源代碼,,也不需要編譯器。Acunetix 還集成了流行的 OpenVAS 網(wǎng)絡(luò)掃描器來掃描漏洞,。在網(wǎng)絡(luò)掃描期間,,Acunetix 利用各種端口探測(cè)和 OS 指紋技術(shù)來識(shí)別大量設(shè)備、操作系統(tǒng)和服務(wù)器產(chǎn)品,。2022年,,Acunetix已經(jīng)更新至最新版本。

3,、Nmap

Nmap全名Network Mapper,,在1997年9月推出,支持Linux,、Windows,、Solaris、BSD,、Mac OS X,、AmigaOS系統(tǒng),采用GPL許可證,,最初用于掃描開放的網(wǎng)絡(luò)連接端,,確定哪服務(wù)運(yùn)行在那些連接端。

微信圖片_20221025120831.jpg

作為一款非常受歡迎的免費(fèi)的針對(duì)大型網(wǎng)絡(luò)的端口掃描開源工具,Nmap可以檢測(cè)目標(biāo)主機(jī)是否在線,、主機(jī)端口開放情況,、檢測(cè)主機(jī)運(yùn)行的服務(wù)類型及版本信息、檢測(cè)操作系統(tǒng)與設(shè)備類型等信息,,兼容包括Linux,、Mac OS 和 Windows所有操作系統(tǒng),是網(wǎng)絡(luò)管理員必用的軟件之一,。

Nmap也是不少白帽和腳本小子愛用的工具,,可以用來探測(cè)工作環(huán)境中未經(jīng)批準(zhǔn)使用的服務(wù)器。Nmap通常用在信息搜集階段,,用于搜集目標(biāo)機(jī)主機(jī)的基本狀態(tài)信息,。掃描結(jié)果可以作為漏洞掃描、漏洞利用和權(quán)限提升階段的輸入,。不僅可以用于掃描單個(gè)主機(jī),,也可以適用于掃描大規(guī)模的計(jì)算機(jī)網(wǎng)絡(luò)。2022年,,Nmap 已經(jīng)更新至7.93版本,,該版本也是為了紀(jì)念Nmap發(fā)布25周年。

4,、Metasploit

Metasploit是一塊非常受歡迎的安全漏洞檢測(cè)和滲透測(cè)試工具(安全框架),,目前有付費(fèi)版和免費(fèi)版兩種。該工具開發(fā)于2003年,,并在2004年的Black Hat大會(huì)上嶄露頭角,,是少數(shù)幾個(gè)可用于執(zhí)行諸多滲透測(cè)試步驟的工具,可幫助安全人員識(shí)別安全問題,,驗(yàn)證漏洞的緩解措施等,。

微信圖片_20221025120835.jpg

Metasploit功能十分強(qiáng)大,可以與Web UI或命令提示符一起使用,,可以對(duì)小型網(wǎng)絡(luò)進(jìn)行基本的滲透測(cè)試,,導(dǎo)入掃描數(shù)據(jù)并識(shí)別網(wǎng)絡(luò),對(duì)漏洞的可利用性進(jìn)行現(xiàn)場(chǎng)檢查,,在主機(jī)上執(zhí)行單個(gè)漏洞利用并瀏覽漏洞利用模塊等,。

Metasploit大大降低了安全人員檢測(cè)漏洞和滲透測(cè)試的難度,只要掌握了其使用方法,,那么就可以憑借該工具掃描那些未打過補(bǔ)丁或者剛剛打過補(bǔ)丁的漏洞,,這也大大促進(jìn)了軟件廠商更新已公布漏洞相關(guān)補(bǔ)丁的緊迫度。2022年1月,,Metasploit發(fā)布新的4.21.0版本,,添加了一個(gè)新的漏洞利用模塊,,實(shí)現(xiàn)了影子攻擊,SMB直接會(huì)話接管,。

5,、Sqlmap

sqlmap 是一款自動(dòng)化的開源滲透測(cè)試工具,可以自動(dòng)檢測(cè)和利用 SQL 注入漏洞并接管數(shù)據(jù)庫服務(wù)器,,配備了強(qiáng)大的檢測(cè)引擎,、終極滲透測(cè)試人員的許多利基功能,以及從數(shù)據(jù)庫指紋識(shí)別,,從數(shù)據(jù)庫獲取數(shù)據(jù)到訪問底層文件系統(tǒng),,通過輸出在操作系統(tǒng)上執(zhí)行命令的廣泛切換。

sqlmap默認(rèn)使用的SQL注入技術(shù)有6種,,分別是基于布爾的盲注,,基于時(shí)間的盲注,,基于錯(cuò)誤的注入,,聯(lián)合查詢注入,堆疊注入和帶外,,完全支持MySQL,、Oracle、Microsoft Access,、IBM DB2等主流品牌的數(shù)據(jù)管理系統(tǒng),。

sqlmap支持枚舉用戶、密碼哈希,、權(quán)限,、角色、數(shù)據(jù)庫,、表和列,,自動(dòng)識(shí)別密碼哈希格式并支持使用基于字典的攻擊來破解;支持根據(jù)用戶的選擇完全轉(zhuǎn)儲(chǔ)數(shù)據(jù)庫表,、一系列條目或特定列,;支持搜索特定數(shù)據(jù)庫名稱、跨所有數(shù)據(jù)庫的特定表或跨所有數(shù)據(jù)庫表的特定列等,。

6,、Nessus

Nessus號(hào)稱是全球最流行的漏洞掃描程序,有超過75000個(gè)組織正在使用,。該工具提供完整的電腦漏洞掃描服務(wù),,并隨時(shí)更新其漏洞數(shù)據(jù)庫。Nessus不同于傳統(tǒng)的漏洞掃描軟件,,Nessus可同時(shí)在本機(jī)或遠(yuǎn)端上遙控,,進(jìn)行系統(tǒng)的漏洞分析掃描。對(duì)應(yīng)滲透測(cè)試人員來說,Nessus是必不可少的工具之一,。

Nessus功能十分強(qiáng)大,,包含各種各樣的掃描選項(xiàng),并且有著易于使用的圖形界面和有效的報(bào)告,,深受白帽們喜愛,。Nessus運(yùn)作效能可隨著系統(tǒng)的資源而自行調(diào)整,用戶可可自行定義插件,,并且完全支持SSL,。2022年,Nessus最新插件包已經(jīng)在五月份進(jìn)行更新,。

7,、Hashcat

Hashcat是一款開源工具,在其官方介紹中,,Hashcat自稱是世界上最快的密碼破解工具,,也是唯一的內(nèi)核規(guī)則引擎。有人稱之為最好用的白帽工具之一,,可幫助用戶恢復(fù)丟失的密碼,、審核密碼安全性,以及找出存儲(chǔ)在哈希中的數(shù)據(jù),。

Hashcat支持Linux,、Windows、macOS主流操作系統(tǒng),,CPU,、GPU、APU等多平臺(tái)支持,,允許用戶在同一系統(tǒng)中使用多個(gè)設(shè)備,,在同一系統(tǒng)中使用混合設(shè)備類型,支持分布式破解網(wǎng)絡(luò),,支持交互式暫停/恢復(fù),,支持會(huì)話和恢復(fù),內(nèi)置基準(zhǔn)測(cè)試系統(tǒng),,集成熱監(jiān)控器,,支持自動(dòng)性能調(diào)優(yōu)等。

2022年,,Hashcat已更新至6.2.6最新版,,其核心開發(fā)者Sam Croley表示通過八塊 NVIDIA RTX 4090 GPU 組成的顯卡陣列,密碼破解時(shí)間縮短至 60 分鐘以內(nèi),,是 RTX 3090 的二分之一,。對(duì)于由數(shù)字,、大小寫字母和符號(hào)組合而成的標(biāo)準(zhǔn)八字符密碼,如果僅使用一塊 RTX 4090 GPU,,成功破解該密碼的時(shí)間為 6.1 小時(shí),。

8、Ettercap

Ettercap是一款免費(fèi)的基于ARP地址欺騙方式的網(wǎng)絡(luò)嗅探開源工具,,主要適用于交換的局域網(wǎng)絡(luò),。在不少人心中,Ettercap被認(rèn)為是“中間人”攻擊神器,,白帽們可以依靠這個(gè)工具進(jìn)行ARP欺騙,、攔截器、DNS欺騙等常見的“中間人”滲透測(cè)試,。

Ettercap能夠攔截網(wǎng)段上的流量,,捕獲密碼并支持許多協(xié)議的主動(dòng)和被動(dòng)剖析,并包括許多用于網(wǎng)絡(luò)和主機(jī)分析的功能,。其特點(diǎn)也非常明顯,,可在實(shí)時(shí)連接中將字符插入服務(wù)器,在全雙工模式下嗅探 SSH 連接,,可進(jìn)行HTTP SSL 數(shù)據(jù)嗅探 ,,使用 ettercap API 創(chuàng)建自定義插件等,。借助Ettercap嗅探軟件,,滲透測(cè)試人員可以檢測(cè)網(wǎng)絡(luò)內(nèi)明文數(shù)據(jù)通訊的安全性,及時(shí)采取措施,,避免敏感的用戶名/密碼等數(shù)據(jù)以明文的方式進(jìn)行傳輸,。2022年,Ettercap工具已經(jīng)更新至v0.7.4版本,。

9,、Cain & Abel

Cain & Abel是一款針對(duì)微軟操作系統(tǒng)的密碼工具,可通過網(wǎng)絡(luò)嗅探,、基于字典的密碼爆破方式,、蠻力破解以及密碼分析去找到各種密碼,從而恢復(fù)VoIP對(duì)話,,破解加密的密碼,,恢復(fù)無線網(wǎng)絡(luò)秘鑰,顯示密碼框,、發(fā)現(xiàn)緩存的密碼并且能夠分析路由協(xié)議等,。

該工具對(duì)于白帽和滲透測(cè)試人員來說非常友好,其最新版本可提供識(shí)別交換LANs和中間人滲透測(cè)試,,分析SSH-1和HTTPS等加密協(xié)議,,提供路由協(xié)議省份驗(yàn)證監(jiān)視器和路由提取器,,適用一些常見哈希算法和一些特定的身份驗(yàn)證功能等。此外,,Cain & Abel最新版本還包含從各種身份驗(yàn)證機(jī)制捕獲憑證的篩選器,,提供基于字典的密碼識(shí)別和密碼暴力破解程序,以及其他和網(wǎng)絡(luò)安全相關(guān)的功能,。2022年7月,,Cain & Abel工具已經(jīng)更新至v4.9.2版本。

10,、Angry IP Scanner

Angry IP Scanner是一款高效的跨平臺(tái)開源IP掃描工具,,白帽可以借助該工具掃描本地網(wǎng)絡(luò)、互聯(lián)網(wǎng)的IP 地址和端口,。該工具適用于Windows,、Mac 和 Linux等主流操作系統(tǒng),是一個(gè)輕量級(jí)程序,,無需進(jìn)行安裝就可以使用,,并且掃描結(jié)果可以導(dǎo)出多種文件格式。

Angry IP在掃描IP地址方面有著獨(dú)到優(yōu)勢(shì),,可為每個(gè) IP 地址創(chuàng)建單獨(dú)的線程,,從而提高掃描速度和準(zhǔn)確率。同時(shí)它還可以確定每個(gè)IP地址,,以查明其狀態(tài)是活動(dòng)還是休眠,,然后解析其主機(jī)名掃描端口并確定 MAC 地址。目前該工具被白帽和企業(yè)安全人員廣泛使用,,涉及企業(yè),、機(jī)構(gòu)和政府單位。2022年8月,,Angry IP Scanner已經(jīng)更新至3.5.1版本,。

以上就是2022年全球白帽們常用工具排行榜TOP 10,如有不足之處還請(qǐng)諸位不吝指點(diǎn),。需要說明的是,,工具排行榜TOP 10只是作為行業(yè)參考,如果讀者有更棒,、更好用的工具,,歡迎在文末留言分享。



更多信息可以來這里獲取==>>電子技術(shù)應(yīng)用-AET<<

二維碼.png

本站內(nèi)容除特別聲明的原創(chuàng)文章之外,,轉(zhuǎn)載內(nèi)容只為傳遞更多信息,,并不代表本網(wǎng)站贊同其觀點(diǎn)。轉(zhuǎn)載的所有的文章,、圖片,、音/視頻文件等資料的版權(quán)歸版權(quán)所有權(quán)人所有,。本站采用的非本站原創(chuàng)文章及圖片等內(nèi)容無法一一聯(lián)系確認(rèn)版權(quán)者。如涉及作品內(nèi)容,、版權(quán)和其它問題,,請(qǐng)及時(shí)通過電子郵件或電話通知我們,以便迅速采取適當(dāng)措施,,避免給雙方造成不必要的經(jīng)濟(jì)損失,。聯(lián)系電話:010-82306118;郵箱:[email protected],。