Утилиты для пентеста — отзывы?

Question

[d3ZORg]

Хотелось бы услышать отзывы о коммерческих решениях для автоматизированного пентеста сайта.
Сухая выжимка из зарубежных блогов конечно тоже неплохо, но опыт живых людей тоже будет интересно выслушать.

Answer 1

[Сергей Галкин]

неплохая portswigger.net/burp/

Answer 2

[Restore]

По мне, так вполне не плохие следующие инструменты:
из open source:
w3af
OWASP ZAP
А если именно коммерческий, то:
Acunetix Web Vulnerability Scanner, но он под Windows.

Answer 3

[sud3n]

nessus, nexpose

Comments

[Иван Журавлев]

+

Answer 4

[Pushkind]

Qualys

Comments

[Иван Журавлев]

+

Answer 5

[icoz]

Рекомендую обратить внимание на BackTrack.
Это дистрибутив для аудита безопасности.

Answer 6

[StrongServer]

Уже упоминавшийся Burp Suite - лучшее решение из open source.

Answer 7

[Иван Журавлев]

Ну и конечно xspider от positive technology )

Answer 8

[MrGroovy]

Работал над одним сайтом, который регулярно подвергался атакам и его приходилось постоянно "поднимать".  Использовал сканеры от Positive Technologies и METASCAN, оба хорошие, но МЕТАСКАН мне понравился больше, там был более понятный интерфейс и довольно подробный отчет о сканирование. Ко всему прочему, просканировал не только на предмет веб уязвимостей, еще проверил системные уязвимости и даже, ради интереса, попробовал побрутить SSH. В общем просканировал всю инфраструктуру и нашел уязвимости в OpenSSH и парочку страниц c XSS, после того как все подправил сайт перестал "падать".