第一部分：常见的Web安全测试类型
- 跨站脚本（XSS）
- 反射型跨站（Reflected XSS）
- 存储型跨站（Stored XSS）
- DOM跨站(DOM-Based XSS)
- 跨站请求伪造(CSRF)
- SQL注入
- XML注入
- URL跳转
- 文件系统跨越
- 系统命令
- 文件上传
- 任意文件下载
- 权限控制
- 访问控制
- Session Expires
第二部分：常见的安全测试工具
| 序号 | 安全测试工具 | 商用 OR 免费 | 检测对象 | 简介 |
|---|---|---|---|---|
| 1 | Nmap | 免费 | 端口扫描器 | 被用于发现网络和安全审计 |
| 2 | Acunetix | 免费 | 网络漏洞扫描器 | 通过抓取和扫描网站和Web应用的SQL注入、XSS、XXE、SSRF和主机头攻击和其他500多个web漏洞 |
| 3 | Metasploit | 免费 | 漏洞监测工具 | 本质上是一个为用户提供已知安全漏洞主要信息的计算机安全项目（框架），并且Metasploit帮助指定渗透测试和IDS监测计划、战略以及利用计划 |
| 4 | Maltego | 免费 | 取证 | Maltego被设计用来把一个全面的网络威胁图片传给企业或者其他进行取证的组织的局部环境，它是一个平台 |
| 5 | OWASP Zed | 免费 | 网络漏洞扫描器 | Zed的代理攻击(ZAP)是现在最流行的OWASP项目之一 |
| 6 | Wireshark | 免费 | 手动分析包工具 | Wireshark是个抓包工具，或者更确切的说，它是一个有效的分析数据包的开源平台 |
| 7 | Burp Suite | 免费 | 网络漏洞扫描器 | Burp Suite中有两个常用应用，一个叫"Burp Suite Spider"，它可以通过监测cookie、初始化这些web应用的连接列举并绘制出一个网站的各个页面以及它的参数；另一个叫"Intruder"，它可以自动执行web应用攻击 |
| 8 | THC Hydra | 免费 | 密码破解 | 是一个快速稳定的网络登录攻击工具，它使用字典攻击和暴力攻击，尝试大量的密码和登录组合来登录页面 |
| ... |
第三部分：安全测试工具试用—— Metasploit
（1）安装
打开
安装完成。
（2）设置环境变量
双击打开：
但是我根本就打不开……
所以我下载了一个图形化工具
但是依旧是无法使用，官方给出的回答是：建议使用kali操作系统。
我的电脑内存不够，东西太多，无法使用虚拟机，所以我放弃了。
第四部分：安全测试工具试用—— Paros proxy
依旧打不开，所以我也放弃了。
第五部分：安全测试工具试用—— Nikto
下载后解压，同样也使用不起来。
也上网找了很多的资料，大部分都是建议在Linux上进行使用，但是由于我自己的电脑实在是不行，虚拟机也装不了，所以没有完成。