2019年值得推荐的23款免费安全工具对于信息安全专业人士来说，这是最糟糕的时代，因为安全威胁难以察觉，但也是最好的时代，因为在这个黑客做生意的时代，有海量的免费安全好工具适用于家庭和旅行的工具。下面我们整理了2019年最佳的23款免费安全工具，涵盖从密码破解到漏洞管理、网络分析到安全通信等各个领域。无论您在信息安全行业从事什么职业，总有一款适合您。1.MaltegoMaltego是Paterva开发的取证和开源情报程序，可提供用户数字环境的清晰威胁图。Laltego能够可视化单点故障的复杂性和严重性以及跨企业基础设施的信任关系。无论是企业网络边缘路由器的配置状态，还是公司副总裁的行踪，Maltego都可以从互联网的海量信息中提取相关情报。Maltego的商业版有点贵，但社区版是免费的，尽管有一些功能限制。2.OWASPZedAttackProxy(ZAP)ZedAttackProxy(ZAP)是一种用户友好的渗透测试工具，可以发现Web应用程序中的漏洞。它为那些希望手动查找漏洞的人提供了一个自动扫描器和一整套工具。ZAP适合具有丰富安全经验的从业者，也非常适合新的渗透测试或开发人员。ZAP甚至为Jenkins持续集成和交付应用提供了官方插件。3.SamuraiWeb测试框架SamuraiWeb测试框架是一个虚拟机和一个Web渗透测试环境，它包括了本文提到的其他一些工具。您可以下载包含VMware映像文件的ZIP存档，其中包含大量用于测试和攻击网站的免费和开源工具。这些工具包括FierceDomainScanner和Maltego。映射工具包括WebScarab和ratproxy，发现工具包括w3af和burp。在漏洞利用方面，提供了AJAXShell和浏览器开发框架BeEF。但全家桶也是有代价的：Samurai开发者邮件列表这几年一直处于休眠状态，2016年打包了最新的SamuraiWTF3.3.2版本，所以收录的工具很多都是“过时”的版本。4.BackTrackKaliLinux是一个基于Linux的渗透测试工具箱，曾被称为BackTrack。借助BackTrack，安全专业人员可以在其本地攻击环境中执行评估。用户可以轻松访问和使用从端口扫描器到密码破解器等各种工具。您可以下载Kali作为ISO安装在32位、64位x86或ARM处理器系统上，或者作为VMware或Hyper-V的VM映像。Kali的工具分为以下几类：信息收集、漏洞分析、无线攻击、Web应用程序、漏洞利用工具、压力测试、取证、嗅探和欺骗、密码攻击、访问保留、逆向工程、报告和硬件黑客攻击。5.Cain&Abel如果你迫切需要访问一个旧的Windows系统，但没有人记得（提供）密码，那么Cain&Abel可能是你的最后一根稻草。Cain&Abel，微软自WindowsXP以来每个版本操作系统的密码恢复工具（只要你记得），自2014年以来就没有更新过。Cain&Abel可以通过嗅探网络、使用字典、暴力破解和密码分析攻击来破解密码，Cain&Abel还可以录音VoIP通话、解码乱码、恢复无线网络密钥、显示密码框、发现缓存密码并分析，从而轻松恢复各种密码、分析路由协议。Cain&Abel可以利用协议标准、认证方式、缓存机制等方面的一些弱点和安全漏洞，其主要目的是简化各种密码和账户的恢复。6.FierceDomainScan这是一个令人敬畏的工具，最后一次更新是在12年前（2007年），由开发者RobertHansen(RSnake)进行。正如他在ha.ckers博客上所说：开发FDS的冲动来自一次崩溃的Web应用程序安全审计。通过检索DNS条目，Fierce可以查明公司网络内外的目标。Fierce本质上是一个侦察工具，一个Perl脚本，可以使用各种策略在几分钟内扫描域。尽管Hansen关闭了他的博客，但Github存储库中的Fierce仍然存在。由于DNS的基本原理在过去十年中变化不大，因此Fierce仍然有效。7.HarvesterHarvester是一种开源情报工具(OSINT)，它利用Google和LinkedIn等公共资源获取与目标域名关联的子域、电子邮件地址和用户名。作为渗透测试人员的最爱，Harvester可用于被动侦察和构建目标配置文件，其中包括用户名和电子邮件地址列表——或评估自己域的暴露程度。8.HpingHping是一个命令行工具，可用于组装和分析自定义TCP/IP数据包。它可用于防火墙测试、端口扫描、多协议网络测试、操作系统指纹识别，并作为高级跟踪路由工具。Hping可以在Linux、FreeBSD、NetBSD、OpenBSD、Solaris、MacOSX和Windows上运行。hping拖了很多年，TCP/IP也没更新。9.JohntheRipperJohntheRipper是一个跨平台的密码破解程序，适用于Unix、Windows、DOS、BeOS和OpenVMS，尽管您可能需要在使用前自行编译免费版本。JohntheRipper主要设计用于检测弱Unix密码，除了支持在各种Unix系统上最常见的几种crypt(3)密码哈希类型之外，还支持WindowsLM哈希。JohntheRipper的社区增强版支持更多哈希和密码，增加了对GPU的支持，搜索速度更快。10.NessusNessus是地球上最流行的漏洞和配置评估工具之一。Nessus最初是一个开源项目，但开发人员Tenable从第三版开始切换到专有许可证。截至2018年5月，Nessus的版本号为7.1。值得庆幸的是，个人仍然可以在他们的家庭网络上免费使用Nessus，扫描多达16个IP地址。Nessus功能包括高速发现、配置审计、资产配置文件、敏感数据发现、补丁管理集成和漏洞分析。11.NMapNmap是一个用于网络探索和安全审计的开源工具，其开发者在发布20年后仍在更新。NMap可以快速扫描大型网络，甚至单个主机。根据NMap网站，NMap可以使用原始IP数据包来确定网络上可用的主机、这些主机提供的服务、它们运行的??操作系统、使用的数据包过滤器/防火墙的类型以及许多其他特征信息.NMap是一款一体化工具，不仅可以用于安全审计，还可以用于清查网络结构和管理服务升级计划。12.OpenVPNOpenVPN是一个开源的SSLVPN工具，可用于非常广泛的配置，包括远程访问、站点到站点VPN、Wi-Fi安全和企业级远程访问解决方案。OpenVPN提供负载平衡、故障转移和细粒度访问控制。OpenVPN为Windows设备提供打包的安装程序，也可以在OpenBSD、FreeBSD、NetBSD、MacOSX和Solaris上运行。13.OphcrackOphcrack是一款使用彩虹表破解Windows密码的免费工具。它在多个平台上运行，并提供一个图形用户界面，能够显示实时图形来分析密码。Ophcrack可以使用网站上随时可用的免费彩虹表，使用LM(WindowsXP)和NTLM(Vista,7)哈希破解密码。它还有一个用于简单密码的强力模块，甚至可以从Windows分区恢复的加密安全帐户管理器(SAM)转储和加载哈希值。14.PythonSecurityOWASPPythonSecurity项目致力于创建一个加强版的Python，以帮助开发人员开发可在高风险环境中使用的应用程序。今天，PythonSecurity是最大的Python安全信息集合。Python安全团队专注于两个领域：Python应用程序和开源代码的功能和结构分析，以及Python解释器的黑盒分析。该项目的网站有一个wiki页面，列出了他们发现的所有安全问题。15.WiresharkWireshark是一种网络协议分析器，允许用户捕获和交互式浏览计算机网络上运行的流量。在其20多年的历史中，Wireshark添加了包括实时捕获、离线分析和对数百种协议的深度检查在内的功能，并且一直在添加新功能。Wireshark是跨平台的，可在Windows、Linux、OSX、Solaris、FreeBSD、NetBSD等平台上运行。Wireshark还具有许多高级功能，例如分析VOIP流量、解密SSL/TLS、WEP和WPA/WPA2流量，以及读取通过USB、蓝牙甚至帧中继传输的流量。16.ModSecurityModSecurity是由Trustwave的SpiderLabs团队开发的Web应用程序监控、日志记录和访问控制工具包。它可以执行完整的HTTP事务日志记录、捕获完整的请求和响应、进行持续的安全评估并强化Web应用程序。您可以将ModSecurity嵌入到Apache2.x安装中或将其部署为反向代理以保护任何Web服务器。17、ThreadFixThreadFix是DenimGroup开发的一个软件漏洞聚合和漏洞管理系统。它匹配并组合来自动态、静态和交互式应用程序扫描器的报告结果。它可以与软件缺陷跟踪系统交互，帮助开发人员专注于最严重的问题。ThreadFix的社区版是开源的，也有增强功能的付费版。18.BurpSuiteBurpSuite是一个Web应用安全测试平台，支持完整的测试流程，从最初的应用攻击面映射到安全漏洞的发现、分析和利用。该套件中的工具包括代理服务器、网络蜘蛛、入侵者（暴力破解）和中继器（请求自动化）。BurpSuite参数多，上手难度大，但一旦上手，就非常强大。Portswigger提供了一个免费版本的BurpSuite，它缺少Web漏洞扫描器和一些高级手动工具。19.MetasploitHDMoore于2003年创建了Metasploit项目，旨在为安全社区提供用于漏洞利用开发的公共资源。该项目产生了Metasploit框架，这是一个用于编写安全工具和漏洞利用的开源平台。2009年，漏洞管理解决方案公司Rapid7收购了Metasploit项目。在收购之前，框架的所有开发都是在开发人员的业余时间完成的。Rapid7同意资助一个专门的开发团队并维护源代码的BSD许可证。20.Aircrack-ng如果说Wireshark是以太网的杀手，那么Aircrack-ng就是Wi-Fi的终结者。事实上，Aircrack是一个完整的工具包，包括数据包监控、硬件测试、密码破解和Wi-Fi网络攻击工具。2018年4月发布的1.2版本大大提高了速度和安全性，并扩大了Aircrack-ng可以使用的硬件范围。21.TAILSAmnesiaInvisibleReal-timeSystem（简称TAILS）是一个可以在DVD光盘或U盘上运行的实时Linux操作系统。Amnesiac意味着TAILS不跟踪或保留以前会话的记录，而Incognito意味着它使用Tor进行所有互联网通信。需要注意的是，在使用Tor时，如果你登录你的社交账户或做其他愚蠢的事情，监控器仍然会查出你的身份。此外，TAILS可以在很大程度上确保您在线活动的隐私。22.QubesOS不同于IT行业常见的夸大功效。QubesOS以异常低调的方式将自己描述为“一个相当安全的操作系统”。它使用Xen管理程序在不同的虚拟机(qubes)中划分功能。不同的活动可以隔离在不同的Qube中。安全强度完全取决于您的需求，如果您只是有点担心，您可以选择在一个qube中进行网上银行业务，而在另一个qube中进行所有其他在线活动。如果您非常谨慎，还可以为每个电子邮件附件创建一个一次性qube，以确保恶意附件无法控制您的整个计算机。QubesOS可免费下载。23.SignalSignal是一种提供端到端加密（默认启用）的即时通讯程序。甚至其开发人员也无法拦截或解密个人电话。它的安全性和声誉比被币圈玷污的Telegram更强。Signal提供了微信的大部分通讯功能，包括语音视频通话、多媒体文件传输等，最大的卖点是高度可定制的隐私保护功能，包括加密群聊、即时通讯和定时消息销毁功能。【本文为专栏作家“李少鹏”原创文章，转载请通过安安牛（微信公众号id：gooann-sectv）获得授权】点此查看作者更多好文
