工欲善其事，必先利其器。对于信息安全专业人士来说，这是最坏的时代，因为安全威胁防不胜防，但也是最好的时代，因为在这个黑客言商的时代，居然有大量居家旅行必备的优秀免费安全工具可用。
?以下我们整理了 2019 年最优秀的 23 款免费安全工具，覆盖从密码破解到漏洞管理、 络分析到安全通讯多个领域，无论您在信息安全行业从事何种职业，总有一款适合你。
1. Maltego
Maltego 是 Paterva 开发的取证和开源情 程序，旨在为用户的数字环境提供清晰的威胁图景。Laltego 能够直观展示单点故障的复杂性和严重性，以及企业基础架构范围内的信任关系。无论是企业 络边缘路由器的配置状态，还是公司副总裁的下落，Maltego都能从互联 海量信息中提取出相关情 。Maltego商业版有点小贵，但 区版是免费的，虽然有一些功能限制。
2. OWASP Zed攻击代理 (ZAP)
Zed 攻击代理 (ZAP) 是一款用户友好的渗透测试工具，可发现 Web 应用程序中的漏洞。它为那些希望手动查找漏洞的人提供了自动扫描程序和一整套工具。ZAP 适合那些拥有广泛安全经验的从业者使用，同时也是渗透测试新手或开发人员的理想选择。针对Jenkins持续集成和交付应用程序，ZAP 甚至还提供了一个官方插件。
3. Samurai Web测试框架
这些工具包括 Fierce 域扫描程序和 Maltego。映射工具包含 WebScarab 和 ratproxy，发现工具包括 w3af 和 burp，漏洞利用方面，提供了 AJAXShell 和浏览器开发框架 BeEF 等。但是全家桶也是有代价的：Samurai 开发人员的邮件列表在过去几年中一直处于休眠状态，最新的 SamuraiWTF 版本 3.3.2 于 2016 年打包，因此其中包含的许多工具都是 “过期” 版本。
4. BackTrack
Kali Linux 是基于 Linux 的渗透测试工具箱，过去被称为 BackTrack。通过 BackTrack，安全专业人员可以在本地原生的攻击环境中执行评估。用户可以轻松访问和使用从端口扫描程序到密码破解程序的各种工具。你可以下载 Kali 的 ISO，安装在 32 位、64 位 x86 系统或 ARM 处理器系统，也可以作为 VMware 或 Hyper-V 的 VM 映像使用。
Kali 的工具分为以下几类：信息收集、脆弱性分析、无线攻击、web 应用、漏洞利用工具、压力测试、 取证、嗅探和欺骗、密码攻击、访问保持、逆向工程、 告和硬件黑客攻击。
5. Cain&Abel
如果您迫切需要访问一个老旧的 Windows 系统，但没人记得(提供)密码，那么 Cain&Abel 可能会是你的最后一根救命稻草。Cain&Abel 是微软 Windows XP(但愿你还记得)以来各版本操作系统的密码恢复工具，自 2014 年以来该工具未进行过更新。
Cain&Abel 可以通过嗅探 络、使用字典、暴力破解和密码分析攻击破解密码，Cain&Abel 还能对 VoIP 通话录音，解码加扰的密码，恢复无线 络密钥，显示密码框，发现缓存的密码并进行分析，从而轻松恢复各种密码，并分析路由协议。Cain&Abel 能利用协议标准、身份验证方法和缓存机制中存在中的一些弱点和安全缺陷，其主要目的是简化各种密码和账户的恢复工作。
6. Fierce Domain Scan
这是一个让人肃然起敬的工具，12 年前 (2007) 开发人员 Robert Hansen (RSnake) 对 Fierce Domain Scan 进行了最后一次更新。正如他在 ha.ckers 博客上所言:开发 FDS 的冲动来自一次让人崩溃的 Web 应用安全审计工作。
通过检索 DNS 条目，Fierce 可以准确地锁定公司 络内部和外部的目标。Fierce 本质上是一种侦察工具，一种 Perl 脚本，可以使用多种策略在几分钟内扫描域。尽管 Hansen 关闭了他的博客，但 Fierce 仍然活在 Github 程序库中。由于 DNS 的基本原理在过去十年中没有发生什么变化，因此 Fierce 仍然有效。
7. The Harvester
Harvester 是一种开放源情 工具 (OSINT)，可利用Google 和 LinkedIn 等公共资源获取与目标域名相关的子域名、电子邮件地址和用户名。Harvester 是渗透测试人员的最爱，可以用于被动侦察并建立目标档案，其中包括用户名和电子邮件地址的列表-或用于评估自身域名的暴露情况。
8. Hping
Hping 是一个命令行工具，可用于组装和分析自定义 TCP / IP 数据包。它可以用于防火墙测试、端口扫描、多协议 络测试、操作系统指纹识别，也可以作为高级路由跟踪工具使用。Hping 可以在 Linux、FreeBSD、NetBSD、OpenBSD、Solaris、MacOS X和Windows 上运行。Hping 拖了很多年，但 TCP / IP 也没有更新过。
9. John the Ripper
开膛手约翰 (John the Ripper) 是可用于 Unix、Windows、DOS、BeOS 和 OpenVMS 的跨平台密码破解程序，不过使用前你可能需要自己动手编译免费版本。John the Ripper 主要用于检测弱 Unix 密码，除了在各种 Unix 系统上最常见的几种crypt (3) 密码哈希类型之外，还支持 Windows LM 哈希。John the Ripper 的 区增强版本支持更多哈希和密码，增加了对 GPU 的支持，搜索速度也更快。
10. Nessus
11. NMap
12. OpenVPN
OpenVPN 是一种开放源代码 SSL VPN 工具，可在非常宽泛的配置中使用，包括远程访问，站点到站点 VPN，Wi-Fi 安全和企业级远程访问解决方案。OpenVPN 提供了负载均衡、故障转移和细粒度的访问控制。OpenVPN 为 Windows 设备提供了打包的安装程序，也可以在 OpenBSD，FreeBSD，NetBSD，Mac OS X 和 Solaris 上运行。
13. Ophcrack
Ophcrack 是一个免费工具，可使用彩虹表破解 Windows 密码。它运行在多个平台上，提供图形用户界面，能够显示实时图形以分析密码。利用站点上现成的免费彩虹表，Ophcrack 可以用 LM (Windows XP) 和 NTLM (Vista，7) 哈希来破解密码。它还具有用于简单密码的暴力破解模块，甚至可以从 Windows 分区中恢复的加密安全帐户管理器 (SAM) 中转储和加载哈希。
14. Python Security
OWASP Python Security 项目致力于创建一个 Python 的强化版本，帮助开发人员开发出能用于高风险环境的应用程序，如今，Python Security 已经是 Python 安全性的最大信息集。Python Security 团队专注于两个领域：Python 应用程序和开源代码的功能和结构分析，以及 Python 解释器的黑盒分析。该项目的 站有一个 Wiki 页，列出了他们发现的所有安全问题。
15. Wireshark
Wireshark 是一种 络协议分析器，它使用户可以捕获并交互式浏览计算机 络上运行的流量。在其 20 多年的发展历史中，Wireshark 增加了很多功能，包括实时捕获、离线分析以及对数百种协议的深入检查，并且不断有新功能加入。Wireshark 是跨平台的，可在 Windows、Linux、OS X、Solaris、FreeBSD、NetBSD 等平台上运行。Wireshark还有很多高级功能，例如分析 VOIP 流量、解密 SSL / TLS、WEP 和 WPA / WPA2 流量，并读取通过 USB，蓝牙甚至帧中继传输的流量。
16. ModSecurity
ModSecurity 是由 Trustwave 的 SpiderLabs 团队开发的Web应用程序监控、日志记录和访问控制工具包。它可以执行完整的 HTTP 事务日志记录，捕获完整的请求和响应，进行持续的安全评估并加固 Web 应用程序。你可以把 ModSecurity 嵌入到 Apache 2.x 安装包中，也可以将其部署为反向代理以保护任何Web服务器。
17. ThreadFix
ThreadFix 是 Denim Group 开发的软件漏洞聚合和漏洞管理系统。它匹配并合并来自动态、静态和交互式应用程序扫描程序的 告结果。它可以与软件缺陷跟踪系统进行交互，帮助开发人员聚焦最严重的问题。ThreadFix 的 区版是开源的，此外还有一个增强功能的付费版本。
18. Burp Suite
Burp Suite 是一个 Web 应用程序安全测试平台，支持完整的测试流程，从应用程序攻击面初始映射到安全漏洞的发现、分析和利用。该套件中的工具包括代理服务器、 络蜘蛛、Intruder(暴力破解)和 Repeater(请求自 动化)。
Burp Suite 参数众多，入门较难，但是一旦上手，威力巨大。Portswigger 提供了一个 Burp Suite 免费版本，该版本缺少 Web 漏洞扫描程序和某些高级手动工具。
19. Metasploit
HD Moore 于 2003 年创建了 Metasploit 项目，旨在为安全 区提供用于漏洞利用开发的公共资源。该项目产生了 Metasploit 框架，一个用于编写安全工具和漏洞利用程序的开源平台。2009 年，漏洞管理解决方案公司 Rapid7 收购了 Metasploit 项目。收购之前，框架的所有开发工作都是开发人员业余时间完成。Rapid7 同意资助一个专职的开发团队，并维持了源代码的 BSD 许可。
20. Aircrack-ng
如果说 Wireshark 是以太 杀神，那么 Aircrack-ng 就是 Wi-Fi 终结者。实际上 Aircrack 是一整套工具包，包含了数据包监控、硬件测试、密码破解以及Wi-Fi 络攻击工具。2018 年 4 月发布的 1.2 版极大地提高了速度和安全性，并扩展了 Aircrack-ng 可以使用的硬件范围。
21. TAILS
健忘症隐身实时系统(简称TAILS)是可以在 DVD 光碟或USB记忆棒运行的实时 Linux 操作系统。健忘症 (Amnesiac) 指的是 TAILS 不会追踪或保留上一个会话的记录，而隐身 (Incognito) 指的是它使用 Tor 进行所有互联 通信。需要注意的是，当使用 Tor 时，如果你登录 交账 或做其他蠢事，监控者依然会发现你的身份，除此之外，TAILS 可以在很大程度上确保你的在线活动的私密性。
22. Qubes OS
与 IT 业常见的夸大疗效不同，Qubes OS 异常低调地将自己描述为 “一个相当安全的操作系统”。它使用 Xen 虚拟机管理程序来划分不同虚拟机 (qubes) 中的功能。可以将不同的活动隔离在不同的 Qubes 中。安全强度完全取决于你的需求，如果您只是有点担心，可以选择在一个 qube 中执行 上银行业务，而在另一个 qube 中执行所有其他在线活动。如果您万分谨慎，也可以为每一个电子邮件附件创建一个一次性的 qube，确保恶意附件无法接管整个计算机。Qubes OS 提供免费下载。
23. Signal
Signal 是一款提供端到端加密(默认开启)的即时通讯程序，甚至其开发人员也无法拦截或者解密个人通话，其安全性和口碑强于被币圈搞黄了的 Telegram。Signal 提供微信的大部分通讯功能，包括语音视频通话、多媒体文件传输等，最大的卖点是高度可定制化的隐私保护功能，包括加密群聊、阅后即焚和消息定时销毁功能。
这里小编是一个有着5年工作经验的前端工程师，关于web前端有一个完整学习web前端的路线，学习材料和工具。需要的伙伴可以私信我，发送“前端”就可以获取领取地址，免费送给大家。对于学习web前端有任何问题（学习方法，学习效率，如何就业）都可以问我。希望你也能凭自己的努力，成为下一个优秀的程序员！
声明：本站部分文章及图片源自用户投稿，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！