下面几款免费开源的 Web 应用程序漏洞扫描器：
Grabber Grabber 是一款免费开源的 Web 应用程序扫描工具，可以检测 Web 应用程序中的许多安全漏洞，包括跨站脚本、SQL 注入、Ajax 测试、文件包含、JS 源代码分析器和备份文件检查等。Grabber 适用于测试小型 Web 应用程序，因为对于大型应用程序来说扫描需要太长时间。该工具没有提供 GUI 界面，也无法生成 PDF 报告，主要面向个人使用。
下载地址：https://github.com/neuroo/grabber
Vega Vega 是一个免费开源的 Web 漏洞扫描工具和测试平台。使用此工具，您可以对 Web 应用程序进行安全性测试。Vega 使用 Java 编写，并提供基于 GUI 的环境，适用于 OS X、Linux 和 Windows。它可以用于查找 SQL 注入、头部注入、目录列表、Shell 注入、跨站脚本、文件包含和其他 Web 应用程序漏洞。
下载地址：https://subgraph.com/vega/
Zed Attack Proxy (ZAP) Zed Attack Proxy 是由 AWASP 开发的开源工具，适用于 Windows、Unix/Linux 和 Macintosh 平台。它可以用于查找各种漏洞，而且使用起来非常简单。即使您对渗透测试不太熟悉，也可以使用此工具轻松开始学习 Web 应用程序的渗透测试。ZAP 包含拦截代理、自动扫描器、蜘蛛、模糊器、Web 套接字支持、即插即用支持、身份验证支持、基于 REST 的 API、动态 SSL 证书、智能卡和客户端数字证书支持等关键功能。
下载地址：https://github.com/zaproxy/zaproxy
Wapiti Wapiti 是一款不错的 Web 漏洞扫描工具，可用于审核 Web 应用程序的安全性。它通过扫描网页和注入数据来执行黑盒测试，尝试注入有效载荷并查看脚本是否容易受到攻击。它支持 GET 和 POST HTTP 攻击，并可以检测文件披露、文件包含、跨站脚本（XSS）、命令执行检测、CRLF 注入、SEL 注入和 Xpath 注入、.htaccess 配置和备份文件披露等漏洞。
下载地址：http://wapiti.sourceforge.net/
W3af W3af 是一个流行的 Web 应用程序攻击和审计框架，旨在提供更好的 Web 应用程序渗透测试平台，并使用 Python 进行开发。通过使用此工具，您可以识别 200 多种 Web 应用程序漏洞，包括 SQL 注入、跨站脚本和许多其他漏洞。
下载地址：http://w3af.org/
WebScarab WebScarab 是一个基于 Java 的安全框架，用于分析使用 HTTP 或 HTTPS 协议的 Web 应用程序。通过可用的插件，可以扩展该工具的功能。它作为拦截代理使用，因此您可以查看浏览器发送到服务器的请求和响应，并在这些请求或响应到达服务器或浏览器之前对其进行修改。此工具适合对 HTTP 协议有很好理解并且能够编写代码的人使用，不适合初学者。
下载地址：https://www.owasp.org/index.php/Category:OWASP_WebScarab_Project
Skipfish Skipfish 也是一个不错的 Web 应用程序安全工具。它抓取网站并检查每个页面是否存在安全威胁，然后生成最终报告。该工具是用 C 语言编写的，针对 HTTP 处理进行了高度优化，并且利用了最少的 CPU 资源。Skipfish 宣称每秒可以处理 2000 个请求而不会给 CPU 增加负载。
下载地址：https://code.google.com/archive/p/skipfish/
Ratproxy Ratproxy 也是一个开源的 Web 应用程序安全审计工具，可用于查找 Web 应用程序中的安全漏洞。它支持 Linux、FreeBSD、MacOS X 和 Windows（Cygwin）环境。此工具旨在解决用户使用其他代理工具进行安全审计时通常会遇到的问题。它能够区分 CSS 样式表和 JavaScript 代码，并支持中间人攻击中的 SSL 解密，使您能够查看通过 SSL 传输的数据。
下载地址：https://code.google.com/archive/p/ratproxy/
SQLMap 是一款功能强大的开源渗透测试工具，能够自动查找和利用网站数据库中的 SQL 注入漏洞。它拥有先进的检测引擎和一系列实用功能，使渗透测试人员能够轻松地进行 SQL 注入检测。
下载地址：https://github.com/sqlmapproject/sqlmap
Wfuzz 是一款免费开源的 Web 应用程序渗透测试工具，可用于强制 GET 和 POST 参数，以测试 SQL 注入、XSS、LDAP 等多种注入类型。它还支持 Cookie 模糊测试、多线程、SOCK、代理、身份验证、参数暴力破解、多代理等功能。
下载地址：https://github.com/xmendez/wfuzz
Grendel-Scan 是一款开源的 Web 应用程序安全工具，用于自动查找 Web 应用程序中的安全漏洞。它提供了许多功能，也可用于手动渗透测试。该工具适用于 Windows、Linux 和 Macintosh 系统，使用 Java 开发。
下载地址：https://sourceforge.net/projects/grendel/
Arachni 是一款开源工具，专为渗透测试环境而开发。它能够检测各种 Web 应用程序安全漏洞，如 SQL 注入、XSS、本地文件包含、远程文件包含、未经验证的重定向等等。