Ребята, кто регулярно проверяет сайты на уязвимости — какой софт используете? У меня были опыты с несколькими популярными сканерами, но каждый выдаёт разный результат и не факт, что самый громкий лучше. Вот что заметил: одни инструменты круты на поиск классических дыр типа SQLi или XSS, другие — лучше разбираются с новыми версиями PHP, API и всякими нестандартными CMS. Также важна скорость и удобство работы, чтобы не гонять сканер по сто раз.

Сам обычно пробую сначала что-то вроде OpenVAS или Nikto, потом дополняю Burp Suite для ручной проверки, а для быстрого сканирования сайтов – OWASP ZAP. Иногда полезно загонять документы с тестовыми payload’ами, чтобы понять, как именно работает защитка.

Интересно, кто что использует и как вы фильтруете ложные срабатывания? Ведь иногда куча предупреждений просто отвлекает от реальных проблем, особенно когда сайт сложный или со множеством модулей. Могли бы поделиться собственным опытом или советами?