这是《Wb安全入门》系列第二篇，上一篇主要根据一些学习的路线给大家针对性的推荐了一些书籍和说了一些建议（点击『阅读原文』），那么这一篇来和大家说说工具，给大家推荐一些我认为的必不可少的Wb安全工具，一些好的工具能够让你节省很多的时间！
工欲善其事必先利其器
环境篇
首先来说说基本的环境，电脑我就不做推荐了，看个人我觉得，我现在自己用的是MAC，然后已经习惯了在MAC下做事，配合虚拟机，整体感觉还行。
虚拟机用PD安装了Windows7、WindowsXP以及Kali，然后开发环境主要是Vagrant+VirtualBox，安装的Ubuntu14.04，平时更多时候应该是vagrant启动然后在Ubuntu里编码，Ubuntu里编辑器主要用的VIM
，MAC下用的Atom；Mac下用的ITrm2，然后装的oh-my-zsh，自己alias一些命令还是挺好用的，然后kychain配置的多私钥（平时连相关服务器都是用公私钥，然后分公司、个人等，所以多私钥，通过这个配置可以在每次启动iTrm的时候输入下私钥密码，以后不管连哪个服务器都自动尝试私钥，不用再次输密码）。
val`kychain-q--val~/.ssh/id_rsa~/.ssh/id_rsa_1~/.ssh/id_rsa_2`
至于浏览器，则是Chrom+Firfox（为了使用一些扩展），基本的个人环境我觉得除了KaliLinux没什么好推荐的，网上有很多推荐方案，更多的取决于怎么高效怎么来！
操作系统：OSX（MAC）、Ubuntu、KaliLinux
虚拟机：Vagrant、VirtualBox、Windows
Shll：iTrm2、oh-my-zsh
编辑器：Atom、Vim
浏览器：Chrom、Firfox
其他：Kychain
以上就是我的环境，仅供大家参考，还有一些细节，比如说一些编辑器的插件、配色方案，我就不发出来了，大家可以搜索大家推荐的，然后自己选择着用。
翻墙方案
主要基于Shadowsocks
1、搭建自己的Shadowsocks服务端，自己买台VPS（比如conoha，日本的，一直很稳定，不过用的人多了，现在差了点，主要看流量，其他配置最低配即可），然后自己搭建个Shadowsocks服务端（百度搜索不到怎么搭建，就用bing搜索）
2、个人PC上安装个Shadowsocks客户端
3、Chrom浏览器用SwitchyOmga，MAC下Wifi自身也可以设置sock5代理
4、Shll里用Proxychains4，安装配置好，任何命令前加上proxychains4就能自动加上代理了
5、安卓手机的话，也可以安装个Shadowsocks客户端
好了，这个也是供大家参考，大家买VPN什么的也是可以的，这个话题相关方案讨论很多，也仅供大家参考
说完以上的内容之后，你已经有了基本的环境，然后也能随意的使用谷歌，查看国外资料，接下来说说具体的工具。
浏览器扩展
Firfox：
1、Firbug，类似于谷歌浏览器下F12的开发者工具，Firfox本身自带的不大好用
2、HackBar，模拟请求，并且页面根据模拟请求的结果实时展示，而且还包含了一些Sqli、XSS里常用的编码工具，必备
3、TamprData，请求截取、修改与重放，有个bug，修改截取的请求时，新增或者修改项，填写完内容需要点击输入框外其他地方让输入生效
4、UsrAgntSwitchr，修改请求的UA
Chrom：
1、自带的开发者工具，也就是常说的F12，虽然不是扩展，但必须说明，必备
2、Postman，功能强大的网页调试与发送网页HTTP请求的插件
3、Hackrstoolkit，包含各种编码、Wb安全相关工具
还有一些，比如XSSRays、LivHTTPHadrs、FormFuzzr等针对性的黑客扩展，我觉得都挺好用的，不过这里就不都做推荐了，只推荐一些我觉得必备的，根据个人的漏洞测试习惯，再针对性的补充不同的扩展。
代理/嗅探
1、Fiddlr，HTTP协议调试代理工具，因为是基于.NET，所以只能用于Windows，虽然也有基于JAVA的版本，不过不好用，一般配合Watchr、x5s使用，这两者均是XSS挖掘的插件
2、Wirshark，网络抓包分析神器，相信大家都知道
3、mitmproxy，代理神器，特别是对北京去哪个医院看白癜风最好北京中科白癫疯