工具的下载地址与使用安装方法都放在每个工具介绍的后面了，需要的话可以自行去下载。
Acunetix Web Vulnerability Scanner（AWVS）是用于测试和管理Web应用程序安全性的平台，能够自动扫描互联网或者本地局域网中是否存在漏洞，并报告漏洞。可以扫描任何通过Web浏览器访问和遵循HTTP/HTTPS规则的Web站点。适用于任何中小型和大型企业的内联网、外延网和面向客户、雇员、厂商和其它人员的Web网站。AWVS可以通过检查SQL注入攻击漏洞、XSS跨站脚本攻击漏洞等漏洞来审核Web应用程序的安全性。
AWVS功能及特点：
> 1）自动的客户端脚本分析器，允许对Ajax和Web2.0应用程序进行安全性测试> 2）业内最先进且深入的SQL注入和跨站脚本测试> 3）高级渗透测试工具，例如HTPP Editor和HTTP Fuzzer> 4）可视化宏记录器帮助您轻松测试web表格和受密码保护的区域> 5）支持含有CAPTHCA的页面，单个开始指令和Two Factor（双因素）验证机制> 6）丰富的报告功能，包括VISA PCI依从性报告> 7）高速的多线程扫描器轻松检索成千上万的页面> 8）智能爬行程序检测web服务器类型和应用程序语言> 9）Acunetix检索并分析网站，包括flash内容，SOAP和AJAX> 10）端口扫描web服务器并对在服务器上运行的网络服务执行安全检查> 11）可导出网站漏洞文件
appscan是一款专门为安全专家和测试人员设计的动态应用程序安全测试工具，这样就可以轻松的帮助用户开发更安全的软件，有效的为用户避免在开发生命周期后期出现代价高昂的漏洞。该软件内置强大的扫描引擎，可以自动爬网目标应用程序并测试漏洞，并其中的测试出来的结果会按照优先级的方式来呈现出来，这样就能够使操作员更快速的分类问题并率先完善发现最关键的漏洞，同时，appscan还会自动为用户们提供明确且可行的修复建议，从而即可更轻松地对每个发现的问题进行补救。而且，该软件拥有全面的安全测试套件，支持测试Web应用程序、Web服务以及移动后端，并会利用基于操作的专有技术和数以万计的内置扫描来持续检查，从而通过这种持续测试和评估Web服务和应用程序的风险检查，更有助于防止破坏性的安全漏洞。
Appscan功能介绍：
> 1）主动和被动扫描> Appscan支持主动和被动扫描技术。在主动扫描模式下，它会模拟攻击者的行为，发送恶意请求和攻击载荷，以发现已知的Web漏洞，如跨站点脚本（XSS）、SQL注入、跨站请求伪造（CSRF）等。而在被动扫描模式下，Appscan会监听应用程序的通信和交互过程，分析数据流和响应，寻找潜在的安全漏洞和问题。> 2）支持Web应用程序和移动应用程序扫描> Appscan既适用于Web应用程序的扫描，也支持移动应用程序的安全性评估。对于Web应用程序，Appscan能够自动发现和评估常见的Web漏洞，如XSS、SQL注入、敏感信息泄露等。对于移动应用程序，Appscan能够分析应用的二进制代码，发现应用中的漏洞和安全问题。> 3）渗透测试支持> Appscan提供渗透测试支持，这意味着它不仅仅是一个漏洞扫描工具，还可以模拟真实攻击的方式进行测试。渗透测试能够帮助发现一些主动扫描难以察觉的漏洞，对于复杂的漏洞和业务逻辑问题有着更深入的测试能力。
YAK是国际上首个致力于网络安全底层能力融合的垂直开发语言，提供了非常强大的安全能力。Yak是绝大部分 “数据描述语言 / 容器语言” 的超集，具备Go所有能力与库生态，VSCode插件等，语法可自定义，是图灵完备的脚本语言，完全国产。通过函数提供各类底层安全能力，包括端口扫描、指纹识别、poc框架、shell管理、MITM劫持、强大的插件系统等。
Yakit是基于yak语言开发的网络安全单兵工具，旨在打造一个覆盖渗透测试全流程的网络安全工具库。
受限于Yak使用形式，用户必须学习 Yak 语言并同时具备对安全的一定理解。为了让 Yak 本身的安全能力更容易被大家接受和使用，我们为Yak编写了gRPC服务器，并使用这个服务器构建了一个客户端：Yakit，通过界面化GUI的形式，降低大家使用Yak的门槛。
yakit功能简单介绍（功能太多了）：
> Yakit 是一个高度集成化的 Yak 语言安全能力的输出平台，使用 Yakit，我们可以做到：>> 1）类似 Burpsuite 的 MITM 劫持操作台> 2）查看所有劫持到的请求的历史记录以及分析请求的参数> 3）全球第一个可视化的 Web模糊测试工具：Web Fuzzer> 4）Yak Cloud IDE：内置智能提示的 Yak 语言云 IDE> 5）ShellReceiver：开启TCP 服务器接收反弹交互式 Shell 的反连> 6）第三方 Yak 模块商店：社区主导的第三方 Yak 模块插件，你想要的应有尽有> 7。。。。。。
burp suite是攻击web 应用程序的集成平台burp Suite 是用于攻击web 应用程序的集成平台，包含了许多工具。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并能处理对应的HTTP消息、持久性、认证、代理、日志、警报。
burp suite工具功能介绍：
> 1）Target(目标)——显示目标目录结构的的一个功能> 2）Proxy(代理)——拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。> 3）Spider(蜘蛛)——应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。> 4）Scanner(扫描器)——高级工具，执行后，它能自动地发现web 应用程序的安全漏洞。> 5）Intruder(入侵)——一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。> 6）Repeater(中继器)——一个靠手动操作来触发单独的HTTP 请求，并分析应用程序响应的工具。> 7）Sequencer(会话)——用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。> 8）Decoder(解码器)——进行手动执行或对应用程序数据者智能解码编码的工具。> 9）Comparer(对比)——通常是通过一些相关的请求和响应得到两项数据的一个可视化的"差异"。> 10）Extender(扩展)——可以让你加载Burp Suite的扩展，使用你自己的或第三方代码来扩展Burp Suit的功能。> 11）Options(设置)——对Burp Suite的一些设置
Xray是长亭科技推出的一款功能强大的安全评估工具，由多名经验丰富的一线安全从业者呕心打造而成，支持主动、被动等多种扫描方式，支持Windows、Linux、macOS多种操作系统，同时支持用户自定义POC。
它可以快速发现目标网站的漏洞。与传统的手工漏洞扫描相比，xray具有以下优势：
> 1.自动化程度高，减少了手工操作的时间和精力；> 2.支持多种漏洞类型扫描；> 3.支持分布式部署；> 4.支持Web界面管理。
xray功能介绍：
其中POC框架默认内置 Github 上贡献的 poc，用户也可以根据需要自行构建 poc 并运行。
目前支持的漏洞检测类型包括:
> 1）XSS漏洞检测 (key: xss)> 2）SQL 注入检测 (key: sqldet)> 3）命令/代码注入检测 (key: cmd-injection)> 4）目录枚举 (key: dirscan)> 5）路径穿越检测 (key: path-traversal)> 6）XML 实体注入检测 (key: xxe)> 7）文件上传检测 (key: upload)> 8）弱口令检测 (key: brute-force)> 9）jsonp 检测 (key: jsonp)> 10）ssrf 检测 (key: ssrf)> 11）基线检查 (key: baseline)> 12）任意跳转检测 (key: redirect)> 13）CRLF 注入 (key: crlf-injection)> 14）Struts2 系列漏洞检测 (高级版，key: struts)> 15）Thinkphp系列漏洞检测 (高级版，key: thinkphp)> 16）XStream 系列漏洞检测 (key: xstream)> 17）POC 框架 (key: phantasm)
开始把五个工具联动起来，自动扫描目标网站的漏洞。
一切准备工作就绪，使用Awvs工具做为第一个接入扫描目标流量的起点。
先把Yakit和Burp Suite的流量劫持，方便后面查看流量走向。
设置awvs扫描目标，接入流量。
到这里为止五个安全扫描漏洞工具就联动起来了，下面就去查看五个工具有没有流量经过，被动扫描目标漏洞。
查看Xray工具经过流量
经过测试，流量都经过了五个安全扫描工具，对目标网站进行全方位的扫描，经过测试效果还不错，感兴趣的师傅可以试试看