Кто чем тестирует уязвимости на сайтах?
 

Собрался как-то сравнить популярные тулзы для сканирования уязвимостей, но правда, чувство, что каждый работает по-своему и никогда не скажешь, где правда. Открытый код, продвинутые правила, частота обновлений — всё это важно, но на практике у меня например один инструмент хорошо видит SQL-инъекции и XSS, а другой почти не замечает этих проблем, зато вылавливает что-то связанное с настройками серверов. Что меня реально убивает — разный уровень ложных срабатываний, где-то слишком много мусора, где-то наоборот какой-то баг остаётся незамеченным. Лечится это либо ручной проверкой, либо комбинированием.

Проверяю обычно так — запускаю сканер, смотрю отчёт, ручками с curl и браузером допроверяю критичные моменты, иногда ставлю на локалку следить за трафиком через прокси. Для защиты часто не хватает просто автоматов, всё равно нужен чёткий мониторинг настроек и апдейтов.

Расскажите, кто что юзает для поиска дыр, и как балансируете между точностью и удобством? Может кто-то настроил что-то реально близко к идеалу?

У меня примерно так же, нормального универсала пока не встретил. Часто юзаю Burp для ручной проверки, особенно с прокси — это даёт больше контроля, чем авто-сканеры. Из автоматов нравится OWASP ZAP, хорошо идёт по базовым вещам, но всегда приходится фильтровать кучу ложняка. Баланс всегда настраиваю через комбинирование и здравый смысл, без этого муторно.

Тоже пробовал разные тулзы, и реально идеала нет. Burp нравился для ручной работы, особенно когда надо точечно проверить, что сканер пропустил. OWASP ZAP удобен, но настряпывает много ложных срабатываний, это раздражает. Комбинировать — единственный выход, иначе замучаешься с мусором в отчётах. Главное — не только сканер смотреть, а вручную пару моментов проверить, иначе можно пропустить важное.