0x01什么是fortify它又能干些什么？ 答：fottify全名叫：Fortify SCA ，是HP的产品 ，是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。扫描的结果包含详细的安全漏洞信息、安全知识说明、修复意见。 0x02它支持扫描多少种语言？ 答：FortifySCA支持的21语言，分别是：      1. asp.net      2. VB.Net      3. c#.Net      4. ASP      5. VBscript      6. VS6      7.java      8.JSP      9.javascript      10. HTML      11. XML      12. C/C++      13.PHP      14.T-SQL      15.PL/SQL      16. Action script       17. Object-C (iphone-2012/5)      18. ColdFusion5.0 - 选购      19. python -选购      20. COBOL - 选购      21.SAP-ABAP -选购 0x03Fortify SCA引擎介绍： 数据量引擎：跟踪、记录并分析程序中的数据传递过程所产生的安全问题。 语义引擎：分析过程中不安全的函数，方法的使用的安全问题。 结构引擎：分析程序上下文环境、结构中的安全问题。 控制流引擎：分析程序特定时间、状态下执行操作指令的安全问题。 配置引擎：分析项目配置中的敏感信息和配置确实的安全问题。 0x04下载地址 登录回复可下载，压缩密码：www.shungg.cn 仅供技术学习交流、请勿用于非法行为、否则后果自负。 因某些原因,取消license文件了,非常抱歉。

Burp Suite是一款信息安全从业人员必备的集成型的渗透测试工具，它采用自动测试和半自动测试的方式，包含了 Proxy,Spider,Scanner,Intruder,Repeater,Sequencer,Decoder,Comparer等工具模块。通 过拦截HTTP/HTTPS的web数据包，充当浏览器和相关应用程序的中间人，进行拦截、修改、重放数据包进行测试，是web安全人员的一把必备的瑞士军刀。功能拦截代理（Proxy），你可以检查和更改浏览器与目标应用程序间的流量；可感知应用程序的网络爬虫（Spider），它能完整的枚举应用程序的内容和功能；高级扫描器，执行后它能自动地发现web应用程序的安全漏洞；入侵测试工具（Intruder），用于执行强大的定制攻击去发现及利用不同寻常的漏洞；重放工具（Repeater），一个靠手动操作来触发单独的HTTP 请求，并分析应用程序响应的工具；会话工具（Sequencer），用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具；解码器，进行手动执行或对应用程序数据者智能解码编码的工具；扩展性强，可以让你加载Burp Suite的扩展，使用你自己的或第三方代码来扩展Burp Suit的功能。下载地址链接: https://pan.baidu.com/s/1kVooH4j 密码: ee1m

近漏洞新闻层出不穷，作为一名技术人员，我们在注意自身文件安全的同时更要学会如何防护漏洞，同时这也是企业安全策略的重要组成部分。本文将介绍 10 款开源的漏洞检测工具，以供开发者们参考选择。1、Java自动化SQL注入测试工具 jSQL链接：http://www.oschina.net/p/jsql-tooljSQL是一款轻量级安全测试工具，可以检测SQL注入漏洞。它跨平台（Windows, Linux, Mac OS X, Solaris）、开源且免费。2、漏洞评估系统 OpenVAS链接：http://www.oschina.net/p/openvasOpenVAS是开放式漏洞评估系统，也可以说它是一个包含着相关工具的网络扫描器。其核心部件是一个服务器，包括一套网络漏洞测试程序，可以检测远程系统和应用程序中的安全问题。其架构如下图所示：3、漏洞检测工具 cvechecker链接：http://www.oschina.net/p/cvecheckercvechecker 将检查你的系统和已安装的软件，并报告可能存在的漏洞。通过匹配 CVE 数据库。4、Web安全测试平台 Vega Platform链接：https://www.oschina.net/p/vegaVega是一个开放源代码的web应用程序安全测试平台，Vega能够帮助你验证SQL注入、跨站脚本（XSS）、敏感信息泄露和其它一些安全漏洞。 Vega使用Java编写，有GUI，可以在Linux、OS X和windows下运行。Vega类似于 Paros Proxy, Fiddler, Skipfish and ZAproxy。5、路由器漏洞检测及利用框架 RouterSploit链接：https://www.oschina.net/p/routersploitRouteSploit框架是一款开源的漏洞检测及利用框架，其针对的对象主要为路由器等嵌入式设备。RouteSploit框架主要由可用于渗透测试的多个功能模块组件组成：Scanners：模块功能主要为检查目标设备是否存在可利用的安全漏洞；Creds：模块功能主要针对网络服务的登录认证口令进行检测；Exploits：模块功能主要为识别到目标设备安全漏洞之后，对漏洞进行利用，实现提权等目的。6、Web渗透测试 Zed Attack Proxy链接：https://www.oschina.net/p/zapZed Attack Proxy (Zaproxy) 是一个渗透测试工具，用来使Web应用更安全。虽然 ZAP 可以自动检测一些安全问题，它主要用于手动帮助您寻找安全漏洞。7、基于Java的开源URL嗅探器 URL-Detector链接：https://www.oschina.net/p/url-detector这是一个可以检测并规范化文本中的URL地址的Java库。是由 Linkedin 公司 开源的一个URL探测工具。Linkedin 在每一秒钟，会检查数十万数量级的 URLs 。这些 URL 可能是来自恶意软件或者钓鱼网站的，为了保障每一个用户有一个安全的浏览体验，同时防止潜在的危险，Linkedin后端的内容检查服务程序会检查所有由用户产生的内容。为了在这每秒数十万规模的用户内容上检测不良的 URL，Linkedin要有能够在快速此规模上提取文本中URL 的方法。8、漏洞扫描工具 Nikto链接：https://www.oschina.net/p/niktoNikto是一款开放源代码的、功能强大的WEB扫描评估软件，能对web服务器多种安全项目进行测试的扫描软件，能在230多种服务器上扫描出 2600多种有潜在危险的文件、CGI及其他问题，它可以扫描指定主机的WEB类型、主机名、特定目录、COOKIE、特定CGI漏洞、返回主机允许的 http模式等等。它也使用LibWhiske库，但通常比Whisker更新的更为频繁。Nikto是网管安全人员必备的WEB审计工具之一。9、漏洞扫描程序 Nessus链接：https://www.oschina.net/p/nessusNessus 号称是"世界上最流行的漏洞扫描程序,全世界超过75,000个组织在使用它".尽管这个扫描程序可以免费下载得到,但是要从Tenable Network Security更新到所有最新的威胁信息,每年的直接订购费用是$1,200.Linux, FreeBSD, Solaris, Mac OS X和Windows下都可以使用 Nessus。10、容器漏洞分析服务 Clair链接：https://www.oschina.net/p/clairClair 是一个容器漏洞分析服务。它提供一个能威胁容器漏洞的列表，并且在有新的容器漏洞发布出来后会发送通知给用户。