Кто чем пользуется для базовой проверки своих сайтов или веб-приложений в плане уязвимостей? Сам особенно часто запускаю Nikto и OWASP ZAP — оба бесплатны и дают довольно неплохой общий обзор. Nikto быстро просматривает конфиги веб-сервера и ищет типичные проблемы, а ZAP можно поднять для проксирования и анализа запросов, плюс есть куча автоматизации.

Ещё из проверенных штуков часто беру Nmap с соответствующими скриптами — особенно для поиска открытых портов и сервисов, а иногда для выявления уязвимостей на уровне сервера. Wappalyzer для понимания, что за технологии стоят — с этим проще выбирать инструменты более целенаправленно.

Важный момент — только этими штуками проблем не закроешь. После автоматической сканерской проверки выгодно смотреть на логи, ручной аудит, проверять сессии и авторизацию. Автомат не всегда поймает бизнес-логику или тонкости страницы.

Для кого-то критично, чтобы инструмент был простой в установке и использовании без лишних тормозов, для кого-то — чтобы был максимально настраиваемый с CLI. Если кто юзает что-то малоизвестное, интересно услышать — может есть нормальные альтернативы.

В целом, сейчас бюджетные проверки на уровне базовых уязвимостей можно сделать кучей бесплатных тулзов, и ими вполне реально закрыть значительную часть дыр на старте. Кто что ещё добавит в этот список?