很多受欢迎的网站都曾遭到过黑客入侵而蒙受经济损失，web漏洞扫描器是一种软件程序，可在Web应用程序上执行自动黑盒测试并识别安全漏洞，扫描程序不访问源代码，只执行功能测试并尝试查找安全漏洞。

在这篇文章中，我们列出了14个免费开源Web应用程序漏洞扫描器，排名不分先后。

1.Grabber

Grabber是一款免费开源的Web应用程序扫描程序，可以检测Web应用程序中的大多数安全漏洞，可以检测以下漏洞：跨站脚本，SQL注入，Ajax测试，文件包含，JS源代码分析器，备份文件检查。

Grabbe仅用于测试小型Web应用程序，因为扫描大型应用程序需要花费太多时间。此工具不提供任何GUI界面，也无法创建任何PDF报告。该工具主要面向个人使用。

下载地址：https://github.com/neuroo/grabber

2.Vega

Vega是一个免费开源Web漏洞扫描程序和测试平台。使用此工具，您可以执行Web应用程序的安全性测试。该工具用Java编写，并提供基于GUI的环境，适用于OS X，Linux和Windows。

可用于查找SQL注入，标头注入，目录列表，shell注入，跨站点脚本，文件包含和其他Web应用程序漏洞。

下载地址：https://subgraph.com/vega/

3.Zed Attack Proxy

Zed Attack Proxy是开源的，由AWASP开发。适用于Windows，Unix / Linux和Macintosh平台。可用于在Web应用程序中查找各种漏洞，该工具简单易用。即使您不熟悉渗透测试，也可以轻松使用此工具开始学习Web应用程序的渗透测试。

ZAP包含以下关键功能：拦截代理，自动扫描仪，蜘蛛，模糊器，Web套接字支持，即插即用支持，身份验证支持，基于REST的API，动态SSL证书，智能卡和客户端数字证书支持。

下载地址：https://github.com/zaproxy/zaproxy

4.Wapiti

Wapiti是一个不错的Web漏洞扫描程序，可审核Web应用程序的安全性。通过扫描网页和注入数据来执行黑盒测试，尝试注入有效负载并查看脚本是否容易受到攻击，支持GET和POSTHTTP攻击并检测多个漏洞。

可以检测以下漏洞：文件披露，文件包含，跨站点脚本（XSS），命令执行检测，

CRLF注射，SEL注射和Xpath注射，.htaccess配置，备份文件披露等。

下载地址：http://wapiti.sourceforge.net/

5.W3af

W3af是一种流行的Web应用程序攻击和审计框架。该框架旨在提供更好的Web应用程序渗透测试平台，使用Python开发。通过使用此工具，您能够识别200多种Web应用程序漏洞，包括SQL注入，跨站点脚本和许多其他漏洞。

下载地址：http://w3af.org/

6.WebScarab

WebScarab是一个基于Java的安全框架，用于使用HTTP或HTTPS协议分析Web应用程序。使用可用的插件，可以扩展该工具的功能。此工具用作拦截代理。因此，您可以查看来自浏览器并转到服务器的请求和响应，还可以在服务器或浏览器收到请求或响应之前修改它们。

此工具不适合初学者，此工具专为那些对HTTP协议有很好理解并且可以编写代码的人而设计。

下载地址：https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project

7.Skipfish

Skipfish也是一个不错的Web应用程序安全工具。它抓取网站，然后检查每个页面是否存在各种安全威胁，然后准备最终报告。该工具用C语言编写。针对HTTP处理进行了高度优化，并且利用了最少的CPU。Skipfish声称每秒可以轻松处理2000个请求而无需在CPU上添加负载。

下载地址：https://code.google.com/archive/p/skipfish/

8.Ratproxy