有哪些适用于 PHP Web 应用程序的优秀安全审计工具？

Question

我有兴趣寻找开源工具来审计一些我未编写的 PHP 代码，然后再将其投入生产。我需要黑盒 HTTP 探测扫描器以及静态代码解析器/分析器。

在哪里可以找到所有这些工具的综合列表，以及哪些工具真正值得尝试的较小列表？

这是一个开始。我还没有尝试过任何一个：

• 老鼠代理http://code.google.com/p/ratproxy/
• 魉http://www.dragoslungu.com/2007/10/30/pixy-is-a-free-php-code-audit-tool/
• Spike PHPhttp://developer.spikesource.com/projects/phpsecaudit

Answer 1

回溯 4包含大量 Web 应用测试和模糊测试工具。因此我倾向于从其中的工具开始。过去我曾使用过W3AF识别 apache 和 php.ini 配置以及我继承的 PHP 应用程序中的问题。

Answer 2

由于之前做过源代码和黑盒审计，我倾向于推荐 Acunetix 或 IBM 的 Hailstorm。如前所述，W3AF 是一款非常好的软件。但这些软件都不如自己做。