Какие тулзы для проверки уязвимостей реально работают?
 

Чуваки, кто что использует сейчас для поиска уязвимостей в веб-приложениях? Старые добрые сканеры уже начинают утомлять, многие из них либо валят кучу ложняков, либо просто не справляются с новыми фреймворками и зашитым JS.

Я вот в последний месяц поковырял несколько вариантов – Burp Suite, OWASP ZAP, Nikto, а ещё попробовал напильником Pantera. Из всего этого больше всего медитирую на Burp, хоть он и тяжеленький, зато норм контролировать трафик и цеплять ручками интересные моменты. OWASP ZAP неплох для быстрого обхода и нахождения простых багов, но иногда его хватает только как доп. инструмент.

Самая главная фишка теперь – это возможность интеграции с CI/CD пайплайнами, чтобы не запускать всё вручную. Кто какие на этот счёт видел лайфхаки? Интересно, что для открытых платформ с кучей API тестов инструменты часто жестко жмутся под ключевые уязвимости типа XSS и SQLi, а вот под продвинутые сценарии уже мало где есть автоматизация.

Кто-то пробовал более новые кастомные решения на базе Python или Go? Реально ли этим быстро покрыть основные кейсы без огромных костылей? Делитесь опытом, может кто-то уже нашёл для себя идеальный набор.