目录
如果使用编辑器进行开发且代码量比较大，建议使用Zend。 如果用于代码审计或者少量代码的开发，建议使用++等轻量级文本编辑器。
++：
++是一个非常独特的开源纯文本编辑器（许可证：GPL），运行在系统上。
：
（官网）是一款功能强大的文本编辑器，支持十六进制查看和编辑。 通过配置脚本运行程序路径，例如php.exe的路径，可以在编辑PHP代码时直接执行代码。
另一个不错的功能是文件比较，被公认为程序员必备的编辑器。
禅德：
Zend 和 PHP 来自同一家公司。 也可以说Zend是PHP官方开发的一款用于编写PHP代码的代码编辑器。 Zend是目前用户数量最多的PHP开发工具。 它也是一个屡获殊荣的专业PHP集成开发环境。 拥有强大的专业编辑工具和调试工具，支持PHP语法高亮，支持语法自动填充功能，支持书签功能。 支持自动语法缩进和代码复制功能，内置强大的PHP代码调试工具，支持本地和远程两种调试模式，支持多种高级调试功能，可以完美运行在当前主流的Linux和Mac操作系统上。 官方网站是
Seay源码审核系统：
基于C#语言开发的PHP代码安全审计系统，主要运行在该系统上。 该软件可以发现SQL注入、代码执行、命令执行、文件包含、文件上传、逃逸保护绕过、拒绝服务、XSS跨站、信息泄露、任意URL跳转等漏洞，基本涵盖了常见的PHP漏洞。 此外，在功能上，支持一键审计、代码调试、功能定位、插件扩展、自定义规则配置、代码高亮、编码调试转换、数据库执行监控等数十种强大功能。
斯卡：
SCA是HP公司开发的商业软件产品。 它对源代码执行专业的白盒安全审核。 当然是收费的，而且这种商业软件一般价格都比较贵。 它有Linux、UNIX和Mae版本，通过内置的五大分析引擎（数据流、控制流、语义、结构和配置）对应用软件的源代码进行静态分析。
在分析过程中，利用其独有的软件安全漏洞规则集进行全面的匹配和搜索。 最终的漏洞结果包括详细的漏洞信息，以及漏洞相关的安全知识描述和修复建议。
这五种分析引擎的介绍如表2-1所示：
撕裂：
RIPS是一款基于PHP开发的用于PHP代码安全审计的软件。 另外，它也是国外安全研究员Dahse开发的开源软件。 该程序只有450KB。 可以下载的最新版本是0.54。 笔者发现该程序已于2013年2月暂停更新。在写本文之前，我特意阅读了它的源代码。 它最大的亮点就是调用了PHP内置的解析器接口。
它还使用语法分析来实现跨文件变量和函数跟踪。 扫描结果清晰显示漏洞形成和变量传递过程，误报率极低。 RIPS可以发现SQL注入、XSS跨站、文件包含、代码执行、文件读取等多种漏洞，并支持多种风格的代码高亮。 更有趣的是，它还支持自动生成漏洞利用程序。
RIPS的使用非常简单，只需在主界面中填写我们要扫描的路径即可，其余的配置可以根据自己的需要进行设置。 完成设置后，点击扫描按钮即可开始自动审核。扫描完成后会显示漏洞数量、漏洞比例等信息。 执行翻译时，只需点击漏洞提示处的“-”即可显示漏洞源代码和变量过程，如下图所示。
漏洞验证协助：
无论是借助代码审计工具发现的漏洞，还是读取PHP文件，我们都需要借助一些工具来帮助我们快速测试漏洞，或者在某些情况下，比如部分代码不可读时，我们无法继续阅读代码。 测试漏洞。 基于模糊测试进行漏洞验证。 主要辅助工具分为数据包请求工具类、暴力枚举类、编码转换和加解密类。 当然，还有一些定期调试和SQL执行监控软件。下面只是一些常用的。 根据不同的漏洞和环境需要使用不同的工具进行测试。
打嗝套件：
浏览器扩展：
常用的开源软件的安全相关扩展有 、 、 Live HTTP 、 Data 等。
同时，浏览器扩展很多，但方便安全测试的却很少。 常用的有Http、http等。
二是一些扩展程序较少的浏览器。 我不会在这里详细列出它们。 不过，建议使用通用内核的浏览器安装一个。 我的电脑上有一个。
4个浏览器直接安装。
：
它是一个开发者工具，与自带的开发者工具具有类似的功能。 支持直接编辑网页HTML、CSS等元素。 “网络”功能可以直接嗅探和数据包。通常在利用一些支付漏洞或SQL注入漏洞时，我们只需将鼠标指针定位到要修改的网页区域，右键“使用查看” ”来利用该网页。
