最新調查：10類排名最高的軟體安全性測試工具彙總
軟體安全性是一個廣泛而複雜的主題，每一個新的軟體總可能有完全不符合所有已知模式的新型安全性缺陷出現。要避免因安全性缺陷問題受各種可能型別的攻擊是不切實際的。在軟體安全測試時，運用一組好的原則來避免不安全的軟體上市、避免不安全軟體受攻擊，就顯得十分重要。
一、軟體安全性測試基本概念
軟體安全性測試包括程式、網路、資料庫安全性測試。根據系統安全指標不同測試策略也不同。
1.使用者程式安全的測試要考慮問題包括：
① 明確區分系統中不同使用者許可權;
② 系統中會不會出現使用者衝突;
③ 系統會不會因使用者的許可權的改變造成混亂;
④ 使用者登陸密碼是否是可見、可複製;
⑤ 是否可以通過絕對途徑登陸系統(拷貝使用者登陸後的連結直接進入系統);
⑥ 使用者推出系統後是否刪除了所有鑑權標記，是否可以使用後退鍵而不通過輸入口令進入系統。
2.系統網路安全的測試要考慮問題包括：
① 測試採取的防護措施是否正確裝配好，有關係統的補丁是否打上;
② 模擬非授權攻擊，看防護系統是否堅固;
③ 採用成熟的網路漏洞檢查工具檢查系統相關漏洞;
④ 採用各種木馬檢查工具檢查系統木馬情況;
⑤ 採用各種防外掛工具檢查系統各組程式的客外掛漏洞。
3.資料庫安全考慮問題：
① 系統資料是否機密(比如對銀行系統，這一點就特別重要，一般的網站就沒有太高要求);
② 系統資料的完整性;
③ 系統資料可管理性;
④ 系統資料的獨立性;
⑤ 系統資料可備份和恢復能力(資料備份是否完整，可否恢復，恢復是否可以完整)。
多年以來，有很多人列出了最佳滲透測試和網路安全評估工具，但是我想用一種不同的方法，按分類列舉最佳測試工具。廢話不多說，下面根據調查分出10類，基本反映了安全測試工具的使用現狀：
最受歡迎的軟體測試工具有哪些？
1. 從總體看，（靜態的）程式碼分析工具和（動態的）滲透測試工具應用還是比較普遍，超過60%，而且滲透測試工具（73.68%）略顯優勢，高出10%。模糊測試工具，可能大家感覺陌生，低至16%，但它在安全性、可靠性測試中還是能發揮作用的。從理論上看，程式碼分析工具應該能達到95%以上，因為它易用，且安全性已經是許多公司的紅線，得到足夠重視。希望以後各個公司能夠加強程式碼分析工具和模糊測試工具的應用。
2. Java程式碼安全性分析工具前三名是：IBM AppScan Source Edition（42.11%）、Fotify Static Code Analyzer（36.84%）、Findbugs（26.32%）。
3.C/C++程式碼安全性分析工具前三名是：C++Test（38.89%）、IBM AppScan Source Edition（38.89%）、Fotify Static Code Analyzer（27.78%）、Visual Studio（27.78%）。可能LDRA Testbed比較貴，關鍵的嵌入式軟體採用比較多，所以沒有進前三。
4. JavaScript程式碼安全性分析工具應用最多的是Google's Closure Compiler，其次是JSHint，也有的公司用Coverity來進行JS的程式碼分析。
5. Python程式碼安全性分析工具應用最多的是Pychecker，其次是PyCharm，而Pylint使用比較少，也有幾個公司用Coverity來進行Python的程式碼分析。
6. Web應用安全性測試的商用工具中，IBM AppScan異軍突起，高達70%的市場，其它商用工具無法與它抗衡，第2名SoapUI和它差距在50%以上，HP webInspect 不到10%。
7. Web應用安全性測試的開源工具中，Firebug明顯領先，將近50%，比第2名OWASP ZAP高12%，第三名是Firefox Web Developer Tools，超過了20%。
8.Android App的安全性測試工具中，Android Tamer領先，將近30%，比第2、3名AndroBugs、Mobisec、Santoku高15%左右。
9. 網路狀態監控與分析工具中，Wireshark遙遙領先，超過70%。其次就是Tcpdump、Burp Suite，佔30%左右。網路狀態監控與分析工具挺多的，但從這次調檢視，越來越集中到幾個工具中，特別是Wireshark功能強，覆蓋的協議比較多，深受歡迎。
10.SQL%E6%B3%A8%E5%85%A5/">SQL注入測試工具排在前三位的：SQLInjector、SQL Power Injector、OWASP SQLiX，三者比較接近，差距在6%左右。其它兩項工具Pangolin、SQLSqueal也佔了10%。
總結：
這些工具將安全測試員從手動稽核的工作中解放出來。它們也使稽核的過程變得更為快速有效。執行有力的安全測試評估並不意味著簡單地從列表中選擇一個工具。相反，它意味著評估組織結果，以及評估資訊、要求和所涉及的利益相關者。這個過程將有助於構建一個理想的策略，包括使用工具來有效和高效地識別和解決安全漏洞。
歡迎加入 51軟體測試大家庭，在這裡你將獲得【最新行業資訊】，【免費測試工具安裝包】，【軟體測試技術乾貨】，【面試求職技巧】... 51與你共同學習，一起成長！期待你的加入： QQ 群： 755431660