Estas son las mejores herramientas de código abierto de penetración de aplicaciones web:

Grabber

Grabber es un escáner de aplicaciones web agradable que puede detectar muchas vulnerabilidades de seguridad en aplicaciones web. Se realiza exploraciones y nos muestra en donde esta el error. Esta herramienta es capaz de detectar las siguientes vulnerabilidades:

Cross site scripting
Inyección SQL
Pruebas de Ajax
La inclusión de archivos
JS analizador de código fuente
Comprobación del archivo de copia de seguridad
No es rápido en comparación con otros escáneres de seguridad, pero es simple y portátil. Esto se debe utilizar sólo para probar pequeñas aplicaciones web, ya que toma demasiado tiempo para escanear grandes aplicaciones.

Esta herramienta no ofrece ninguna interfaz gráfica de usuario. Tampoco puede crear cualquier informe en PDF. Esta herramienta fue diseñada para ser simple y para uso personal. Puede probar esta herramienta sólo para uso personal. Si usted está pensando en él para el uso profesional, no lo recomendaría.

Esta herramienta fue desarrollada en Python. Y también tiene una versión ejecutable (.exe) . El código fuente está disponible, por lo que puede modificarlo de acuerdo a sus necesidades. El script principal es grabber.py, que una vez ejecutado llamadas otros módulos como sql.py, xss.py u otros.

Descárgalo aquí: http://rgaucher.info/beta/grabber/

El código fuente en Github: https://github.com/neuroo/grabber

Vega

Vega es otro escáner de vulnerabilidades web de código y de código abierto. Con esta herramienta, puede realizar pruebas de seguridad de una aplicación web. Esta herramienta está desarrollada en Java y ofrece un entorno basado en GUI. Está disponible para OS X, Linux y Windows.

Se puede utilizar para encontrar inyección SQL, inyección de cabecera, listado de directorios, inyección cáscara, cross site scripting, la inclusión de archivos y otras vulnerabilidades de las aplicaciones web. Esta herramienta también se puede ampliar mediante una potente API desarrollada en javascript.

Al trabajar con la herramienta, que permite establecer unos preferencias como el número total de descendientes de ruta, número de caminos secundarios de un nodo, la profundidad y el número máximo de solicitudes por segundo. Puede utilizar Vega Scanner, Vega Proxy, Proxy Scanner y escáner con credenciales. Si necesita ayuda, puede encontrar recursos en la sección de documentación:

Documentación: https://subgraph.com/vega/documentation/index.en.html

Descarga Vega: https://subgraph.com/vega/

 

Ataque Zed Proxy

Ataque Zed Proxy también se conoce como ZAP. Esta herramienta es de código abierto y es desarrollado por AWASP. Está disponible para las plataformas de Windows, Unix / Linux y Macintosh. Personalmente, me gusta esta herramienta. Se puede utilizar para encontrar una amplia gama de vulnerabilidades en aplicaciones web. La herramienta es muy simple y fácil de usar. Incluso si usted es nuevo a la penetración de pruebas, puede utilizar fácilmente esta herramienta para empezar a aprender las pruebas de penetración de aplicaciones web.

Estas son las funciones de ZAP:

Scanner automático
Fuzzer
Socket Web
Plug-n-hack
El soporte de autenticación
API basada en REST
Certificados SSL dinámicos
Soporte de tarjetas inteligentes y certificados digitales de cliente
Puede utilizar esta herramienta como un escáner ingresando la URL para realizar la exploración, o puede utilizar esta herramienta como un proxy de la interceptación para realizar manualmente las pruebas en las páginas específicas.

Descargar ZAP: http://code.google.com/p/zaproxy/

Wapiti

Wapiti es también un escáner de vulnerabilidades web agradable que le permite auditar la seguridad de sus aplicaciones web. Se lleva a cabo pruebas de recuadro negro al escanear páginas web y la inyección de datos. Se trata de inyectar cargas útiles y ver si un script es vulnerable. Es compatible tanto con GET y POST ataques HTTP  y detecta varias vulnerabilidades.

Puede detectar siguientes vulnerabilidades:

Exposición de archivos
Cross Site Scripting (XSS)
Ejecución de comandos
CRLF Inyección
SEL Inyección y Xpath Injection
Configuración de .htaccess
crear backups
y muchos otros
Wapiti es una aplicación CMD. Por lo tanto, tal vez no sea fácil para los principiantes. Sin embargo, para los expertos, será un buen desempeño. Para utilizar esta herramienta, usted necesita aprender un montón de comandos que se pueden encontrar en la documentación oficial.

Descarga Wapiti con el código fuente: http://wapiti.sourceforge.net/

W3af

este software tiene como objetivo proporcionar una plataforma de pruebas de penetración de aplicaciones web mejor. Está desarrollado en Python. Mediante el uso de esta herramienta, usted será capaz de identificar más de 200 tipos de vulnerabilidades de las aplicaciones web, incluyendo la inyección SQL, cross-site scripting y muchos otros.

Viene con una interfaz gráfica y consola. Se puede utilizar fácilmente mediante el uso de su interfaz fácil de entender.

Si usted lo está utilizando con Interfaz gráfica, no creo que usted va a hacer frente a cualquier problema con la herramienta. Sólo tiene que seleccionar las opciones y luego iniciar el escáner. Si un sitio web necesita autenticación, también puede utilizar los módulos de autenticación para escanear las páginas de sesión protegida.

puede acceder al código fuente en el repositorio Github: https://github.com/andresriancho/w3af/

Puedes descargarlo desde el sitio web oficial: http://w3af.org/

WebScarab

WebScarab es un software de seguridad basado en Java para el análisis de aplicaciones web usando HTTP o HTTPS. Con plugins disponibles, se puede ampliar la funcionalidad de la herramienta. Esta herramienta funciona como un proxy de interceptación. Así, puede revisar la solicitud y la respuesta que viene a su navegador y va a thw servidor. También puede modificar la solicitud o la respuesta antes de que sean recibidos por el servidor o el navegador.

Si usted es un principiante, esta herramienta no es para ti. Esta herramienta fue diseñada para aquellos que tienen una buena comprensión del protocolo HTTP y pueden escribir códigos.

WebScarab ofrece muchas características que ayuda a pruebas de penetración trabajan en estrecha colaboración en una aplicación web y encontrar vulnerabilidades de seguridad.Se puede extraer fácilmente los scripts y HTML de la página. Proxy observa el tráfico entre el servidor y el navegador, y usted puede tomar el control de la solicitud y la respuesta mediante el uso de plugins disponibles. Los módulos disponibles pueden detectar fácilmente las vulnerabilidades más comunes, como la inyección SQL, XSS <CRLF y muchas otras vulnerabilidades.

El código fuente de la herramienta está disponible en Github: https://github.com/OWASP/OWASP-WebScarab

Descargar WebScarab aquí: https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project

Skipfish

Skipfish es también una herramienta de seguridad de aplicaciones web agradable. Se arrastra el sitio web y compruebe cada página para diversas amenazas a la seguridad y al final se prepara el informe final. Esta herramienta fue escrito en C#. Es altamente optimizado para el manejo de HTTP y la utilización de CPU mínimo. Se afirma que puede manejar fácilmente 2.000 solicitudes por segundo sin agregar una carga en la CPU.

Esta herramienta está disponible para Linux, FreeBSD, MacOS X y Windows.

Descarga Skipfish o código de Códigos Google: http://code.google.com/p/skipfish/

Ratproxy

Ratproxy es también una herramienta abierta de auditoría de seguridad de aplicaciones web de código que se puede utilizar para encontrar vulnerabilidades de seguridad en aplicaciones web. soporta Linux, FreeBSD, MacOS X, y (Cygwin) entornos Windows.

Esta herramienta está diseñada para superar los problemas que enfrentan los usuarios por lo general durante el uso de otras herramientas de proxy para las auditorías de seguridad. Es capaz de distinguir entre las hojas de estilo CSS y códigos de javascript. También es compatible con SSL, lo que significa que también puede ver los datos que pasan a través de SSL. Puedes leer más acerca de esta herramienta aquí: http://code.google.com/p/ratproxy/wiki/RatproxyDoc

Descarga http://code.google.com/p/ratproxy/