Q:

Автоматизация проверок сайта на типовые уязвимости

В этом вопросе хочется собрать список устанавливаемых локально решений и онлайн-сервисов, позволяющих автоматически протестировать сайт на типовые уязвимости, такие как XSS, CSRF, SQL инъекции, открытые листинги каталогов, открытые файлы конфигов, открытые .svn и .git, открытые phpinfo() и проч.
Задача - провести тестирование сайта перед его выкаткой в продакшен с минимальной ручной работой, в идеале - скормить сервису URL сайта и нажать кнопку "Go!", на выходе получив список уязвимостей с сортировкой по типу/критичности.

A:

https://www.tinfoilsecurity.com - требуется регистрация и подтверждение владения сайтом (через DNS или выкладывание проверочного файла), после чего возможна автоматическая проверка на наличие известных системе уязвимостей. По найденным уязвимостям строится отчёт, по каждой уязвимости даются ссылки на материалы для изучения матчасти и способов закрытия уязвимости. Системе можно сказать "эту дырку я закрыл" и инициировать перепроверку - система ответит, действительно ли уязвимость перестала воспроизводиться. Работает небыстро, ругается на любые HTTP формы без капчи и на insecure куки, то есть в реальном большом проекте даст много ложно-положительных срабатываний. Первый месяц работает бесплатно, дальше - либо за деньги, либо урезанный функционал.

