本页长期有效 · 建议 Ctrl+D 收藏全部工具

安全测试工具包

Burp Suite Community / OWASP ZAP / Nuclei / Nikto

适用环境：合法授权测试 · 学习研究 · 开箱即用

一键安装命令

Windows 10/11 自带 winget。按 Win + X 打开「终端(管理员)」，逐条粘贴执行。

winget install PortSwigger.BurpSuite.Community
winget install OWASP.ZAP
winget install ProjectDiscovery.Nuclei

Burp Suite Community

Web 安全测试代理，拦截改包，学习渗透必备官方页 →

OWASP ZAP

Web 扫描器，自动化检测常见漏洞官方页 →

Nuclei

模板化漏洞扫描，速度快，社区模板多官方页 →

Nikto

Web 服务器扫描，检测危险文件和配置官方页 →

1先学基础

不懂 HTTP 协议直接上工具就是瞎扫。先搞清请求/响应结构、状态码、Cookie 机制。

2Burp 配置代理

启动 Burp → Proxy → Options 确认监听 127.0.0.1:8080 → 浏览器设代理 → 装 CA 证书（访问 http://burp 下载）。

3抓包改包

打开 Intercept is on → 浏览目标 → 请求被拦下 → 可改参数 → Forward 放行。

4自动化扫描

ZAP 输入目标 URL → Attack → 自动扫描 → 看告警列表，按风险等级排序。

Q：能扫别人的站吗

A：只能在你有授权的目标上测试。未授权扫描可能触犯法律，用靶场练手最稳：DVWA、Juice Shop、PortSwigger Web Security Academy。

Q：Burp 抓不到 HTTPS

A：CA 证书没装好。浏览器访问 http://burp 下载证书，导入受信任根证书。