目录：

• 1、渗透测试工具有哪些
• 2、打造自己的渗透测试框架—溯光
• 3、汇总下关于安全的13款必备工具
• 4、渗透测试的工具一般是用什么语言写的？Windows和Linux平台的软件应该差别
• 5、JAVA使用什么工具写的？
• 6、常见的十五种Java开发工具是什么，有什么特点

渗透测试工具有哪些

1、Kali Linux

不使用Kali Linux作为基本渗透测试操作系统，算不上真正的黑客。Kali Linux是基于Debian的Linux发行版，

设计用于数字取证操作系统。每一季度更新一次。由Offensive Security Ltd维护和资助。更先由Offensive Security的Mati

Aharoni和Devon Kearns通过重写BackTrack来完成，BackTrack是他们之前写的用于取证的Linux发行版 。

Kali Linux的前身是BackTrack

Linux，有进攻性安全部门的专业人士维护，它在各个方面都进行了优化，可以作为进攻性渗透测试工具使用。

2、Nmap

Nmap是发现企业 *** 中任何类型的弱点或漏洞的绝佳工具，它也是审计的很好工具。该工具的作用是获取原始数据包并确定哪些主机在 *** 的特定段上可用，正在使用什么操作系统，以及识别特定主机的数据包防火墙或过滤器的不同类型和版本正在使用。Nmap对渗透测试过程的任何阶段都很有用并且还是免费的。

3、Wireshark

Wireshark是一个无处不在的工具，可用于了解通过 *** 的流量。虽然通常用于深入了解日常TCP/IP连接问题，但Wireshark支持对数百种协议的分析，包括对其中许多协议的实时分析和解密支持。如果不熟悉渗透测试，Wireshark是一个必须学习的工具。

4、John the Ripper

John the

Ripper是一个很流行的密码破解工具，是渗透测试工具包中的一个很必要的补充。它可以用来确定数据库中的未知弱点，通过从传统字典中找到的复杂和流行的单词列表，获取文本字符样本，并用与正在生成的密码相同的格式，对其进行加密来达到目的。

5、Hashcat

Hashcat自称世界上最快和更先进的密码恢复应用程序，可能并不是谦虚，懂Hashcat的人肯定知道它的价值。Hashcat让John the

Ripper一筹莫展。它是破解哈希的首选渗透测试工具，Hashcat支持多种密码猜测暴力攻击，包括字典和掩码攻击。

6、Hydra

Hydra在需要在线破解密码时发挥作用，例如SSH或FTP登录、IMAP、IRC、RDP等等。将Hydra指向你想破解的服务，如果你愿意，可以给它传递一个单词列表，然后扣动扳机。像Hydra这样的工具提醒人们为什么限制密码尝试和在几次登录尝试后断开用户连接可以成功地防御攻击者。

7、Sqlmap

Sqlmap，是非常有效的开源的SQL注入工具，并且自动化检测和利用SQL注入缺陷并接管数据库服务器的过程，就像它的网站所说的那样。Sqlmap支持所有常用目标，包括MySQL、oracle、PostgreSQL、Microsoft

SQL、server等。

打造自己的渗透测试框架—溯光

TrackRay简介

溯光，英文名“TrackRay”，意为逆光而行，追溯光源。同时致敬安全圈前辈开发的“溯雪”，“流光”。

溯光是一个开源的插件化渗透测试框架，框架自身实现了漏洞扫描功能，集成了知名安全工具：Metasploit、Nmap、Sqlmap、AWVS等。

溯光使用 Java 编写，SpringBoot 作为基础框架，JPA + HSQLDB嵌入式数据库做持久化，Maven 管理依赖，Jython 实现 Python 插件调用，quartz 做任务调度，freemarker + thymeleaf 做视图层，Websocket 实现命令行式插件交互。

框架可扩展性高，支持 Java、Python、 *** ON 等方式编写插件，有“漏洞扫描插件”、“爬虫插件”、“MVC插件”、“内部插件”、“无交互插件”和“可交互插件” 等插件类型。

功能展示

主页

登录

任务创建

任务列表

任务详情

无交互接口插件调用

MVC插件示例

交互式插件控制台

MSF 控制台

依赖环境

JDK 1.8

Python 2.7

Maven

Git

Metasploit

Nmap(建议安装)

SQLMAP(建议安装)

AWVS

**加粗为必须环境，没有安装程序则无法正常编译运行

不论是 Windows 还是 linux 一定需要先安装 JDK1.8 和 Maven。安装过程这里不做演示。保证 JDK 和 Maven 都在系统环境变量，能执行java -version 和 mvn --version即可。

安装过程

之一步

手动启动 AWVS 服务

登录后台，生成一个API密匙。

复制密匙和 AWVS 的地址。

找到web/src/main/resources/application.properties配置文件。

修改如下部分

第二步

找到你 python 的第三方库目录。

Windows 的一般在 python 安装目录下的/Lib/site-packages

Linux 下可以通过输出 sys.path 来找第三方包路径

我的是 D:/Python2/Lib/site-packages

同样找到web/src/main/resources/application.properties配置文件。

修改python.package.path参数

第三步

安装 Maven 后找到仓库位置。

如果没有在 settings.xml 里配置指定仓库目录，默认会在当前用户目录中生成一个 .m2的目录

找到仓库目录后修改 application.properties 的 maven.repository.path参数

第四步

这个是 DNSLOG 回显检测漏洞时需要的。

去 ceye.io 注册一个账号，拿到给你分配的域名和 TOKEN。

修改配置文件

第五步

启动 msf 和 sqlmapapi。

如果你是 kali 操作系统，可以直接运行startdep.sh。

如果是其他系统，则要找到 metasploit 和 sqlmap 的目录分别执行

启动成功后修改配置文件

第六步

编译打包程序

等待依赖下载完成和编译完成，如果以上操作都没有出现问题则会提示 BUILD SUCCESS

编译成功后会在当前目录打包一个trackray.jar就是溯光的主程序。

然后直接执行startup.bat或startup.sh溯光就会启动服务。

没有抛出异常或ERROR日志，访问 8080 端口正常。

服务启动正常后，登录 iZone 社区账号。

**开发插件建议使用 Intellij IDEA IDE，需要安装 lombok 插件。

目录结构

插件

AbstractPlugin

这是交互式插件和非交互式插件的父类。

BASE常量

其中的静态常量 BASE 是 /resources/include/ 的所在目录。

如果你的插件需要额外的静态资源，那么你可以在 /resources/include 目录里创建一个和插件 KEY 相同的文件夹，便于识别，如果没有在 @Plugin 注解中设置 value 则默认的插件 KEY 就是当前类名首字母小写。

如 Typecho001 = typecho001

check(Map param)

这是用于检验是否合规的 *** ，需要被强制重写，当返回 true 时才会调用 start() ***

param 参数是从前台传过来的参数键值对。

常被用于检验参数格式是否正确或漏洞是否存在。

after()

在 start() *** 之前调用

before()

在 start() *** 之后调用

start()

这是一个抽象 *** ，所有继承了该类的子类都需要重写这个 *** 。

在 check *** 通过后会调用 start() ***

start() *** 返回值最终会会当做插件结果，响应给前台。

shell()

调用当前系统 shell 来辅助完成插件功能。

executor()

插件执行的主 ***

crawlerPage

http请求对象（不推荐使用）

fetcher

执行 http 请求对象（不推荐使用）

errorMsg

当校验不通过时，返回给前台的信息。

param

前台传过来的参数键值对

requests

HTTP 发包工具（推荐使用）

hackKit

hack 常用工具包

无交互插件

无交互插件需要你填写好所有要填写的参数，直接请求接口来执行插件。

默认需要去继承 CommonPlugin类。

这是一个抽象类，继承了 AbstractPlugin

主要多出来两个属性：request 和 response。

继承了 CommonPlugin 的类可以通过调用这两个属性来控制请求和响应内容。

无交互插件同时也需要使用 @Rule 和 @Plugin 插件，这两个注解后面会讲到。

在 ，找到相应的插件填写好参数提交即可完成调用。

或直接调用接口。

交互式插件

交互式插件一般在命令行控制台中调用，可以允许你通过命令行交互来完成插件的调用。

交互式插件由 Websocket 实现，想要写一个交互式插件，首先要继承 WebSocketPlugin 类。

同时设置 @Rule 注解的 websocket 参数为 true ，如果需要异步交互需要将 sync 也设置为 true。

内部插件

内部插件是不可以通过外部去调用的，需要继承 InnerPlugin 并使用 @Plugin 注解，通常在漏洞扫描时时会调用。

例如 “网页爬虫”，“指纹识别”，“端口扫描” 等，都是通过调用内部插件实现的。

还有用于检测 SSRF 等漏洞用的 FuckCeye 插件也属于内部插件。

通过 spring 的自动注入，来注入内部插件到当前对象。

例子可参考 WebLogicWLSRCE.java

爬虫插件

爬虫插件会在扫描任务被勾选“网页爬虫”时调用，每爬取一条请求就会调用一次爬虫插件。

爬虫插件需要继承 CrawlerPlugin，继承该类必须重写 check 和 process *** 。

check *** 用于检验请求是否符合插件规则，以免产生多余请求。

当 check *** 返回为 true 时会调用 process *** 。

process *** 里写插件主要检测代码。

addVulnerable()

当插件检测出漏洞时，可以通过调用 addVulnerable() *** 来向数据库插入一条漏洞。

requests

requests 属性为请求工具包，处理 https 和 http 都很方便。

response

response 属性为当前爬虫得到的 HTTP 响应。

task

task 属性为当前任务对象，如果你的爬虫插件不是检测漏洞而希望是检测一些敏感信息的话可以修改 task.getResult() 里的属性。

参考 FingerProbe.java 或 InfoProbe.java。

target

爬虫爬取到的 URL 对象。

fetcher crawlerPage

http 请求对象（不建议使用）。

漏洞扫描插件

漏洞扫描插件会在，扫描任务中勾选“漏洞攻击模块”时调用。

漏洞扫描插件分为三种

1.独立插件

独立的漏洞扫描插件需要继承 AbstractExploit 并使用 @Plugin 或 @Exploit

AbstractExploit 中有以下需要了解的 *** 和属性。

requests

http / https 发包工具

target 当前扫描任务的地址。

task

当前扫描任务对象。

check()

check 是一个抽象 *** ，需要被子类强制重写。

该 *** 一般用于检验是否符合当前漏洞扫描插件的规则，以免产生多与请求。

attack()

attack 也是一个抽象 *** ，需要被子类强制重写。

该 *** 是检测漏洞的主 *** 。

before()

在 attack *** 前执行

after()

在 attack *** 后执行

addVulnerable()

当插件检测出漏洞时，可以通过调用 addVulnerable() *** 来向数据库插入一条漏洞。

fetcher crawlerPage

http 请求对象（不建议使用）。

2.漏洞规则

位于

实际上这是一个“内部插件”，会在勾选漏洞模块攻击时调用。

有一些漏洞检测 *** 很简单，只通过简单的判断响应体就能识别出来，也就没有必要再去写一个独立的插件而占用空间了。

在 doSwitch() *** 中会先去根据当前任务的指纹识别结果走一遍 switch 流程。

swtich 的每一个 case 都是 WEB 指纹的枚举对象。

当 switch 找到当前任务 WEB 指纹对应的 case 后，case 内的代码会通过构建一个漏洞规则添加到 loaders *** 里。

如果规则是通用的，可以写在 switch 的外面。

3.kunpeng *** ON插件

kunpeng 是一个 go 语言编写的 poc 测试框架，这里我对 kunpeng 的 *** ON 插件做了一个支持。

只需要按照 kunpeng json 插件的格式规范创建一个 json 文件到 /resources/json 目录。

在扫描任务勾选“漏洞攻击模块”时会被调用，或通过 MVC 插件调用 。

MVC 插件

位于

MVC 插件的特点在于，他可以像是在写一个功能一样，而非简单的接口式调用。

MVC 插件需要继承 MVCPlugin 类，并使用 @Rule,@Plugin 注解。

MVCPlugin 内置了一个 ModelAndView 对象， 是 SpringMVC 提供的。

可以通过 setViewName() 来指定视图层的网页模板。

通过 addObject(key,value) 向视图层网页模板注入参数。

这里的视图层是使用 thymeleaf 实现的，需要懂 thymeleaf 的语法。

例子可以参考：com.trackray.module.inner. *** ONPlugin

继承 MVCPlugin 必须要重写一个 index *** ，这是插件的入口。

如果需要写其他的功能，就得再创建一个 public 返回值为 void 的无参 *** 。

并且要在该 *** 上使用 @Function 注解，该注解的 value 参数如果不填写的话则默认的 requestMapping 地址为 *** 名。

例如

最后还需要在 /module/src/main/resources/templates 创建一个目录名为插件 KEY 的目录。

里面存放扩展名为 .html 的模板文件。

Python 插件

python 插件有两种实现方式。

1.通过命令行实现

这种方式最为简单，通过在 include 里写一个 python 脚本。

然后在插件里调用 shell() *** 来执行系统命令。

案例可参考 com.trackray.module.plugin.windows. *** b.MS17010

但这样还需要再写 java 的代码，对于没有学过 java 的人来说很不友好。

2.通过jython实现

jython 是一个 Python 语言在 Java 中的完全实现。

我将它的调用过程写成了一个交互式插件。

你可以通过在 /resources/python/ 目录下安装如下规范去创建一个 python 文件。

在这个 python 文件中需要写两个 *** 。

关于注解

@Rule

一般用在“可交互插件”和“无交互插件”类上。

@Plugin

WEB指纹

这里顺便再说一下如何添加指纹库。

指纹库位于 base 模块，是一个枚举类。

可以在首部或尾部添加一条新的枚举，尽量使用 $ 开头。

之一个参数是 指纹的名称，如果第二个参数是 String 类型则是该指纹的说明。

FingerBean 类是指纹匹配对象。

汇总下关于安全的13款必备工具

汇总下关于安全的几款必备工具：

Burp Suite 是用于攻击web 应用程序的集成平台，http协议分析神器，里面包括了不少安全必备的功能，重放、爆破、扫描并且支持自定义脚本，实现自己想要的功能。Burp Suite为这些工具设计了许多接口，以加快攻击应用程序的过程。所有工具都共享一个请求，并能处理对应的HTTP 消息、持久性、认证、 *** 、日志、警报。

工具下载地址：

工具运行需要Java环境，请自行安装。

Nmap，也就是Network Mapper，最早是Linux下的 *** 扫描和嗅探工具包，扫描 *** 情况和端口开放情况，也可以加载nmap内置的poc脚本发现安全漏洞

官网：

nmap是一个 *** 连接端扫描软件，用来扫描网上电脑开放的 *** 连接端。确定哪些服务运行在哪些连接端，并且推断计算机运行哪个操作系统（这是亦称 fingerprinting）。它是 *** 管理员必用的软件之一，以及用以评估 *** 系统安全。

正如大多数被用于 *** 安全的工具，nmap 也是不少黑客及骇客（又称脚本小子）爱用的工具 。系统管理员可以利用nmap来探测工作环境中未经批准使用的服务器，但是黑客会利用nmap来搜集目标电脑的 *** 设定，从而计划攻击的 *** 。

Nmap 常被跟评估系统漏洞软件Nessus 混为一谈。Nmap 以隐秘的手法，避开闯入检测系统的监视，并尽可能不影响目标系统的日常操作。

这个主要是利用sql注入漏洞的工具，可以自定义扫描规则和方式，若是通读源码之后对sql注入会有相当深的理解

官网：

这个是域名爆破工具，owasp开发的，该工具采用Go语言开发，它可以通过遍历等形式爬取数据源和Web文档，或利用IP地址来搜索相关的网块和ASN，并利用所有收集到的信息来构建目标 *** 拓扑。速度和发现都相当不错。

项目地址：

官网

ubuntu下安装命令如下：

Masscan，是 robertdavidgraham 在 Github 上开源的端口扫描工具。

Masscan 性能优越，极限速度可以从单机每秒发送1000万个数据包。Masscan 使用了与另一个著名的扫描工具 —— nmap 类似的命令行参数，方便进行上手使用。

Masscan 针对 TCP 端口进行扫描，使用 SYN 扫描的方式，不建立一个完全的 TCP 连接，而是首先发送一个 SYN 数据包到目标端口，然后等待接收。如果接收到 SYN-ACK 包，则说明该端口是开放的，此时发送一个 RST 结束建立过程即可；否则，若目标返回 RST，则端口不开放。 这个用来发现大规模 *** 下存活的ip和端口还是不错，配合nmap发现服务可快速扫描 ***

项目代码位于

安装 Masscan 可以从源码进行编译，在 Debian/Ubuntu 平台上，使用命令：

编译得到的二进制程序位于子文件夹 masscan/bin。由于代码中包含了大量的小文件，可以开启多线程模式进行编译：

Wireshark（前称Ethereal）是一个 *** 封包分析软件。 *** 封包分析软件的功能是截取 *** 封包，并尽可能显示出最为详细的 *** 封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

下载地址

7、metasploit

Metasploit是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代码审计，Web应用程序扫描， 社会 工程。团队合作，在Metasploit和综合报告提出了他们的发现。

下载地址

Cobalt Strike是一款基于java的渗透测试神器，常被业界人称为CS神器。自3.0以后已经不在使用Metasploit框架而作为一个独立的平台使用，分为客户端与服务端，服务端是一个，客户端可以有多个，非常适合团队协同作战，多个攻击者可以同时连接到一个团队服务器上，共享攻击资源与目标信息和sessions，可模拟APT做模拟对抗，进行内网渗透。

Cobalt Strike集成了端口转发、服务扫描，自动化溢出，多模式端口监听，win exe木马生成，win dll木马生成，java木马生成，office宏病毒生成，木马捆绑；钓鱼攻击包括：站点克隆，目标信息获取，java执行，浏览器自动攻击等等。

mimikatz可以从内存中提取明文密码、哈希、PIN 码和 kerberos 票证。 mimikatz 还可以执行哈希传递、票证传递或构建黄金票证。

下载地址

这个是内网端口转发工具，对于无法出网的端口相当好用。有Windows版和Linux版两个版本，Windows版是lcx.exe,Linux版为portmap。

lcx有两大功能：

*** 隧道工具，可以让工具走隧道进入内网环境，配合msf中的 *** 相当好用

github地址

1.建立文件夹proxychains，并进入下载

2.解压缩

3.进入解压缩后的目录进行安装

4.配置环境变量 打开文件.bashrc

将下面一段话考入该文件

使改变生效

有管理员权限 直接执行以下命令

netcat被誉为 *** 安全界的‘瑞士军刀’，命令用于设置路由器。 一个简单而有用的工具，透过使用TCP或UDP协议的 *** 连接去读写数据。它被设计成一个稳定的后门工具，能够直接由其它程序和脚本轻松驱动。同时，它也是一个功能强大的 *** 调试和探测工具，能够建立你需要的几乎所有类型的 *** 连接，还有几个很有意思的内置功能(详情请看下面的使用 *** )。

【没有找到该工具logo，随便找一个凑数】

中国蚁剑是一款开源的跨平台网站管理工具，它主要面向于合法授权的渗透测试安全人员以及进行常规操作的网站管理员。

通俗的讲：中国蚁剑是 一 款比菜刀还牛的shell控制端软件。

唯一官方github下载地址：

嫌弃一个个下载麻烦的同学有福了， 一口君已经下载，并存放在网盘里，

后台回复： 安全工具 即可下载

渗透测试的工具一般是用什么语言写的？Windows和Linux平台的软件应该差别

常用是python，有的工具是用C++和java写的，所以更好多学习一门语言

JAVA使用什么工具写的？

分享五个Java程序员必须掌握的工具。

1、SparkJava

这是针对Java开发者的一个新的轻量级以及强大的Web应用框架。Spark拥有简单和直接的 *** ，你可以使用Spark框架，通过做一些繁琐的XML配置来编码应用。Spark助你更轻松的开发Java Web应用。

2、jClarity

jClarity是两个产品的组合，其中illuminate用于性能监控，census则用于收集日志和分析数据，框架是轻量级的，并且非常的紧凑。

3、Clover

Clover是一款伟大的用于代码覆盖的工具，该工具有助于编写对应用测试有用的代码。你可以在IDE或持续集成系统中运行Clover。工具优化于提升你的测试速度。

4、jProfiler

jProfiler有直观的用户界面，可以帮助你解决性能瓶颈以及理解问题。你可以很容易的确定内存泄漏并使用jProfiler修复线程问题。

5、Visualvm

Visualvm是一款免费的、集成了多个JDK命令行工具的可视化工具，它能为您提供强大的分析能力，对Java应用程序做性能分析和调优。

以上就是和大家分享的关于Java工程师必须掌握的五个工具。

常见的十五种Java开发工具是什么，有什么特点

1、JDK （Java Development Kit）Java开发工具集

从初学者角度来看，采用JDK开发Java程序能够很快理解程序中各部分代码之间的关系，有利于理解Java面向对象的设计思想。JDK的另一个显著特点是随着Java （J2EE、J2SE以及J2ME）版本的升级而升级。但它的缺点也是非常明显的就是从事大规模企业级Java应用开发非常困难，不能进行复杂的Java软件开发，也不利于团体协同开发。

2、Java Workshop

3、NetBeans 与Sun Java Studio 5

NetBeans是开放源码的Java集成开发环境(IDE)，适用于各种客户机和Web应用。

Sun Java Studio是Sun公司最新发布的商用全功能Java IDE，支持Solaris、Linux和Windows平台，适于创建和部署2层Java Web应用和n层J2EE应用的企业开发人员使用。

NetBeans是业界之一款支持创新型Java开发的开放源码IDE。开发人员可以利用业界强大的开发工具来构建桌面、Web或移动应用。同时，通过NetBeans和开放的API的模块化结构，第三方能够非常轻松地扩展或集成NetBeans平台。

NetBeans3.5.1主要针对一般Java软件的开发者，而Java One Studio5则主要针对企业做 *** 服务等应用的开发者。Sun不久还将推出Project Rave，其目标是帮助企业的开发者进行软件开发。NetBeans 3.5.1版本与其他开发工具相比，更大区别在于不仅能够开发各种台式机上的应用，而且可以用来开发 *** 服务方面的应用，可以开发基于J2ME的移动设备上的应用等。在NetBeans 3.5.1基础上，Sun开发出了JavaOne Studio5，为用户提供了一个更加先进的企业编程环境。在新的JavaOne Studio5里有一个应用框架，开发者可以利用这些模块快速开发自己在 *** 服务方面的各种应用程序。

4、Borland 的JBuilder

Jbuilder进入了Java集成开发环境的王国，它满足很多方面的应用，尤其是对于服务器方以及EJB开发者们来说。下面简单介绍一下Jbuilder的特点:

1）Jbuilder支持最新的Java技术，包括Applets、 *** P/Servlets、JavaBean以及EJB(Enterprise JavaBeans)的应用。

2）用户可以自动地生成基于后端数据库表的EJB Java类，Jbuilder同时还简化了EJB的自动部署功能.此外它还支持CORBA，相应的向导程序有助于用户全面地管理IDL(分布应用程序所必需的接口定义语言Interface Definition Language)和控制远程对象。

3）Jbuilder支持各种应用服务器。Jbuilder与Inprise Application Server紧密集成，同时支持WebLogic erver，支持EJB 1.1和EJB 2.0，可以快速开发J2EE的电子商务应用。

4）Jbuilder能用Servlet和 *** P开发和调试动态Web 应用。

5）利用Jbuilder可创建(没有专有代码和标记)纯Java2应用。由于Jbuilder是用纯Java语言编写的，其代码不含任何专属代码和标记，它支持最新的Java标准。

6）Jbuilder拥有专业化的图形调试介面，支持远程调试和多线程调试，调试器支持各种JDK版本,包括J2ME/J2SE/J2EE。

JBuilder环境开发程序方便，它是纯的Java 开发环境，适合企业的J2EE开发；缺点是往往一开始人们难于把握整个程序各部分之间的关系，对机器的硬件要求较高，比较吃内存，这时运行速度显得较慢。

5、Oracle 的JDeveloper

oracle9i JDeveloper（定为9.0版，最新为10g）为构建具有J2EE功能，XML和Webservices的复杂的，多层的Java应用程序提供了一个完全集成的开发环境。它为运用Oracle9i数据库和应用服务器的开发人员提供特殊的功能和增强性能，除此以外，它也有资格成为用于多种用途Java开发的一个强大的工具。

oracle9i JDeveloper的主要特点如下：

① 具有UML（Unified Modeling Language，一体化建模语言）建模功能。可以将业务对象及e-business应用模型化。

② 配备有高速Java调试器（Debuger）、内置Profiling工具、提高代码质量的工具“CodeCoach”等。

③ 支持SOAP（Simple Object Access Protocol）“简单对象访问协议”、UDDI（Universal Description, Discovery and Integration）“统一描述、发现和集成协议”、WSDL（Web Services Description Language）“WEB服务描述语言”等Web服务标准。

JDeveloper 不仅仅是很好的 Java 编程工具，而且是 oracle Web 服务的延伸，支持 Apache SOAP，以及 9iAS ，可扩充的环境和 XML 和 WSDL 语言紧密相关。Oracle9iJdeveloper完全利用Java编写，能够与以前的Oracle服务器软件以及其他厂商支持J2EE的应用服务器产品相兼容，而且在设计时着重针对Oracle9i，能够无缝化跨平台之间的应用开发，提供了业界之一个完整的、集成了J2EE和XML的开发环境，允许开发者快速开

发可以通过Web、无线设备及语音界面访问的Web服务和交易应用，以往只能通过将传统Java编程技巧与最新模块化方式结合到一个单一集成的开发环境中之后才能完成J2EE应用开发生命周期管理的事实，从根本上得到改变。缺点就是对于初学者来说，较复杂，也比较难。

6、IBM的Visual Age for Java

Visual Age for Java是一个非常成熟的开发工具，它的特性以于IT开发者和业余的Java编程人员来说都是非常用有用的。它提供对可视化编程的广泛支持，支持利用CICS连接遗传大型机应用，支持EJB的开发应用，支持与Websphere的集成开发，方便的bean创建和良好的快速应用开发(RAD)支持和无文件式的文件处理。

IBM为建设Web站点所推出的WebSphere Studio Advanced Edition及其包含的VisualAge for Java Professional Edition软件已全面转向以Java为中心，这样，Java开发人员对WebSphere *** 工具的感觉或许会好了许多。Studio所提供的工具有：Web站点管理、快速开发 JDBC页向导程序、HTML编辑器和HTML语法检查等。这确实是个不错的HTML站点页面编辑环境。Studio和VisualAge集成度很高，菜单中提供了在两种软件包之间快速移动代码的选项。这就让使用Studio的Web页面设计人员和使用VisualAge的Java程序员可以相互交换文件、协同工作。

Visual Age for Java支持团队开发，内置的代码库可以自动地根据用户做出改动而修改程序代码，这样就可以很方便地将目前代码和早期版本做出比较。与Visual Age紧密结合的Websphere Studio本身并不提供源代码和版本管理的支持，它只是包含了一个内置文件锁定系统,当编辑项目的时候可以防止其他人对这些文件的错误修改，软件还支持诸如Microsoft Visual SourceSafe这样的第三方源代码控制系统。Visual Age forJava完全面向对象的程序设计思想使得开发程序非常快速、高效。你可以不编写任何代码就可以设计出一个典型的应用程序框架。Visual Age for Java作为IBM电子商务解决方案其中产品之一，可以无缝地与其他IBM产品，如WebSphere、DB2融合, 迅速完成从设计、开发到部署应用的整个过程。

Visual Age for Java独特的管理文件方式使其集成外部工具非常困难,你无法让Visual Age for Java与其他工具一起联合开发应用。

7、BEA 的 WebLogic Workshop

BEA WebLogic Workshop是一个统一、简化、可扩展的开发环境，使所有的开发人员都能在 BEA WebLogic Enterprise Platform之上构建基于标准的企业级应用，从而提高了开发部门的生产力水平，加快了价值的实现。

WebLogic Workshop除了提供便捷的Web服务之外，它能够用于创建更多种类的应用。作为整个BEA WebLogic Platform的开发环境。不管是创建门户应用、编写工作流、还是创建Web应用，Workshop 8.1都可以帮助开发人员更快更好地完成。

WebLogic Workshop的主要特点如下：

① 使 J2EE 开发切实可行，提高开发效率

BEA WebLogic Workshop 使开发人员远离 J2EE 内在的复杂性，集中精力专注业务逻辑，无须操心单调乏味的基础结构代码。这种创新意味着，已被企业验证的 J2EE 的强大功能，最终被大多数不熟悉 Java 和 J2EE 的应用开发人员所掌握，从而使 IT 部门的工作效率提高一个数量级。

可视化设计器以及直观的概念，如事件、属性和控件等，实现了基于事件的开发。Workshop 简化的程序设计模型，使开发人员不必掌握复杂的 J2EE API 和面向对象的程序设计原理。所有开发人员，包括 J2EE 专家和具有可视化和过程化语言技能的应用开发人员在内，都可以共同工作在 BEA WebLogic Enterprise Platform 之上。Workshop的可视化开发环境，创建带有代码注释的标准 Java 文件，用来说明由运行时框架实施的企业级需求。J2EE 和其他高级开发人员，借助功能强大的代码编辑功能，可以访问Java 源代码，从而弥补了可视化设计器的不足。

② 构建企业级应用

通过在可伸缩、安全可靠的企业级架构上实施各种应用，BEA WebLogicWorkshop 大大降低了开发风险。而且，所有应用的创建都使用标准的 J2EE 组件，既保护了您的技术投资，又保持了更大的灵活性。

BEA WebLogic Workshop 运行框架，是统一整个架构的汇聚层，使单一、简化的程序设计模型扩展到所有的 BEA WebLogic Enterprise Platform 应用类型。通过解释设计时创建的注释代码，运行时框架可以实现必要的 J2EE 组件，并且提取出与 J2EE 应用开发有关的所有底层细节。

③ 降低 IT 复杂性

BEA WebLogic Workshop 提供各种 Java 控件，使得与 IT 资源的连接更轻而易举。另外，在构建任何 BEA WebLogic Platform 的应用中，Java 控件不仅可扩展而且完全相同。这种强大、有效的 *** 能够：降低 IT 技术的复杂性，优化信息的可用性，推动包含"更佳业务方案"的可重用服务的开发，使开发人员能以更低的成本、更短的时间实现更大的产出。

利用 BEA WebLogic Workshop，任何开发人员都能以更大的生产效率，构建各种Web 服务、Web 应用、门户和集成项目。BEA WebLogic Workshop是BEA的产品战略核心，它帮助客户接触和利用面向服务架构SOA)的强大功能。BEA Weblogic Workshop8.1极大简化了当前实际企业集成环境中企业级应用和服务的构建，并成为全面支持关键企业级应用(如异步、真正松耦合和粗粒度消息传送等)的自然选择。它的缺点就是过于复杂，对于初学者来说，理解起来较为困难。

8、WebGain 的Visual Cafe for Java

Visual Cafe 是只能在Symantec公司的Java虚拟机、Netscape公司的Java虚拟机和Microsoft虚拟机上工作的调试器。这对于开发者来讲是一个重要的特性,因为用户开发的Java代码中的许多软件bug就可能中会在某种特定的虚拟机上起作用。

在修改后进行编译基继续进行调试时,Visual Cafe会自动将文件存盘，使用VisualCafe创建的原生应用具有许多特点。除了明显的速度提高之外,Symantec使类库的二进制方式比正常的JDK小Visual Cafe为所指定的关系自动生成或更新必要的Java代码。利用Visual Cafe，用户可以从一个标准对象数据库中 *** 完整的Java应用程序和Applet，而不必再编写源代码。Visual Cafe还提供了一个扩充的源代码开发工具集。

Visual Cafe综合了Java软件的可视化源程序开发工具，它允许开发人员在可视化视图和源视图之间进行有效地转换。在可视化视图中进行的修改立即反映在源代码中。对源代码的改变自动更新可视化视图。

Visual Cafe具有许多源文件方面的特性，如全局检索和替换。绝大多数Java开发工具的文献的问题在于简单地挨个介绍开发工具的每部分组件，但用户在开应用时还需要一个面向任务的手册，利用这个手册你可以不必知道工具每一部分的特定功能就可以开始创建自己的应用。Visual Cafe提供了非常全面的用户指南,它对最开始的安装到创建之一个Java应用和Applet都提供了全面的帮助，Visual Cafe将自动生成所指明关系的必要Java代码。Visual Cafe可以在Windows 95和Windows NT平台下运行，Symantec公司为Java开发工作提供一个在Macintosh操作系统下可以运行的RAD工具。Visual Cafe编译器速度很快，在国际化支持方面比较突出；缺点就是对于初学者来说，较复杂，也比较难。

9、Macromedia的JRUN

Macromedia公司的JRun是一个具有最广阔适用性的Java引擎，用于开发及实施由Java Servlets和JavaServer Pages编写的服务器端Java应用。JRun是之一个完全支持 *** P1.0 规格书的商业化产品，全球有超过80,000名开发人员使用JRun在他们已有的Web服务器上添加服务器端Java的功能。其中Web服务器包括了Microsoft IIS，Netscape Enterprise Server，Apache等。

JRun是开发实施服务器端Java的先进引擎。如果我们希望在我们的Web应用中添加服务器端Java功能，那么JRun将成为我们的正确选择。

JRun目前有3个版本，它是之一个支持Java Server Pages( *** P)规格书1.0的商业化产品。 *** P是一种强大的服务器端技术，它是用于创建复杂Web应用的一整套快速应用开发系统。JRun可以使我们开始开发并测试Java应用。它最多接受5个并发的连接并且包括全部Java Servlet API，支持JavaServer Pages( *** P)，支持所有主要的Web servers和计算机平台。 JRun Pro能够在生产环境下承受大访问量的负载，帮助我们实施应用、服务或Web站点（包括内联网）。JRun Pro 支持无 *** 并发式连接运行多个Java虚拟机，包括多个并发的Java虚拟机（JVM）。提供一个远程管理applet以及一个远程可再分布式的管理applet。JRun Pro Unlimited包括了所有JRun Pro的功能，除次以外，还可以运行无 *** 的，并发的JVM。

JRun依靠其内置的JRun Web Server可以单独运行。使用服务器端Java，用户可以开发出复杂的商业应用系统。最重要的一点是，由于servlets的平 *** 立性，以及更加简单的开发、更快速的实施、更经济的维护成本，它是CGI(Common Gateway Interface)或Perl scripts的极佳的替代产品。缺点就是对于初学者来说，较复杂，也比较难。

10、JCreator

JCreator 是一个Java程序开发工具，也是一个Java集成开发环境（IDE）。无论你是要开发Java应用程序或者网页上的Applet元件都难不倒它。在功能上与Sun公司所公布的JDK等文字模式开发工具相较之下来得容易，还允许使用者自订义操作窗口界面及无限Undo/Redo等功能。

JCreator为用户提供了相当强大的功能，例如项目管理功能，项目模板功能，可个性化设置语法高亮属性、行数、类浏览器、标签文档、多功能编绎器，向导功能以及完全可自定义的用户界面。通过JCreator，我们不用激活主文档而直接编绎或运行我们的JAVA程序。

JCreator能自动找到包含主函数的文件或包含Applet的Html文件，然后它会运行适当的工具。在JCreator中，我们可以通过一个批处理同时编绎多个项目。JCreator的设计接近Windows界面风格，用户对它的界面比较熟悉。其更大特点是与我们机器中所装的JDK完美结合，是其它任何一款IDE所不能比拟的。它是一种初学者很容易上手的java开发工具，缺点是只能进行简单的程序开发，不能进行企业J2EE的开发应用。

11、Microsoft VJ++

Visual J++ 是Microsoft 公司推出的可视化的Java 语言集成开发环境(IDE)，为Java 编程人员提供了一个新的开发环境，是一个相当出色的开发工具。无论集成性、编译速度、调试功能、还是易学易用性，都体现了Microsoft 的一惯风格。Visual J++ 具有下面的特点：

1）Visual J++ 把Java 虚拟机(JVM)作为独立的操作系统组件放入Windows，使之从浏览器中独立出来。

2）Microsoft 的应用基本类库(AFC,Application Foundation Class Library)对SUN 公司的JDK 作了扩展，使应用基本类库更加适合在Windows 下使用。

3） Visual J++ 的调试器支持动态调试，包括单步执行、设置断点、观察变量数值等。

4） Visual J++ 提供了一些程序向导(Wizards)和生成器(Builders)，它们可以方便地帮助用户快速地生成Java 程序，帮助你在自己的工程中创建和修改文件。

5） Visual J++ 界面友好，其代码编辑器具有智能感知、联机编译等功能，使程序编写十分方便。Visual J++ 中建立了Java 的WFC，这一新的应用程序框架能够直接访问Windows 应用程序接口(API)，使你能够用Java 语言编写完全意义上的Windows 应用程序。

6）Visual J++ 中表单设计器的快速应用开发特性使用WFC 创建基于表单的应用程序变得轻松、简单。通过WFC 可以方便地使用ActiveX 数据对象(ADO,ActiveX Data Objects)来检索数据和执行简单数据的绑定。通过在表单设计器中使用ActiveX 数据对象，可以快速地在表单中访问和显示数据。

Visual J++能结合微软的一贯的编程风格，很方便进行Java 的应用开发，但它的移植性较差，不是纯的Java 开发环境。

12、Eclipse

Eclipse是一种可扩展的开放源代码IDE。2001年11月，IBM公司捐出价值4,000万美元的源代码组建了Eclipse联盟，并由该联盟负责这种工具的后续开发。集成开发环境(IDE)经常将其应用范围限定在“开发、构建和调试”的周期之中。为了帮助集成开发环境(IDE)克服目前的局限性，业界厂商合作创建了Eclipse平台。Eclipse允许在同一IDE中集成来自不同供应商的工具，并实现了工具之间的互操作性，从而显著改变了项目工作流程，使开发者可以专注在实际的嵌入式目标上。

Eclipse框架的这种灵活性来源于其扩展点。它们是在XML中定义的已知接口，并充当插件的耦合点。扩展点的范围包括从用在常规表述过滤器中的简单字符串，到一个Java类的描述。任何Eclipse插件定义的扩展点都能够被其它插件使用，反之，任何Eclipse插件也可以遵从其它插件定义的扩展点。除了解由扩展点定义的接口外，插件不知道它们通过扩展点提供的服务将如何被使用。

利用Eclipse，我们可以将高级设计(也许是采用UML)与低级开发工具(如应用调试器等)结合在一起。如果这些互相补充的独立工具采用Eclipse扩展点彼此连接，那么当我们用调试器逐一检查应用时，UML对话框可以突出显示我们正在关注的器件。事实上，由于Eclipse并不了解开发语言，所以无论Java语言调试器、C/C++调试器还是汇编调试器都是有效的，并可以在相同的框架内同时瞄准不同的进程或节点。

Eclipse的更大特点是它能接受由Java开发者自己编写的开放源代码插件，这类似于微软公司的Visual Studio和Sun微系统公司的NetBeans平台。Eclipse为工具开发商提供了更好的灵活性，使他们能更好地控制自己的软件技术。Eclipse联盟已经宣布将在2004年中期发布其3.0版软件。这是一款非常受欢迎的java开发工具，这国内的用户越来越多，实际上实用它java开发人员是最多的。缺点就是较复杂，对初学者来说，理解起来比较困难。

13、Ant

Another Neat Tool(Ant)是一种基于Java的build工具。理论上来说，它有些类似于（Unix）C中的make ，但没有make的缺陷。因为Ant的原作者在多种(硬件)平台上开发软件时，无法忍受这些工具的限制和不便。类似于make的工具本质上是基于shell（语言）的：他们计算依赖关系，然后执行命令（这些命令与你在命令行敲的命令没太大区别）。这就意味着你可以很容易地通过使用OS特有的或编写新的（命令）程序扩展该工具；

然而，这也意味着你将自己限制在了特定的OS，或特定的OS类型上，如Unix。Ant就不同了。与基于shell命令的扩展模式不同，Ant用Java的类来扩展。（用户）不必编写shell命令，配置文件是基于XML的，通过调用target树，就可执行各种task。每个task由实现了一个实现了特定Task接口的对象来运行。

Ant支持一些可选task，一个可选task一般需要额外的库才能工作。可选task与Ant的内置task分开，单独打包。这个可选包可以从你下载Ant的同一个地方下载。ANT本身就是这样一个流程脚本引擎，用于自动化调用程序完成项目的编译，打包，测试等。除了基于JAVA是平台无关的外，脚本的格式是基于XML的，比make脚本来说还要好维护一些。Ant是Apache提供给Java开发人员的构建工具，它可以在Windows OS和Unix OS下运行，它不仅开放源码并且还是一个非常好用的工具。Ant是Apache Jakarta中一个很好用的Java开发工具，Ant配置文件采用XML文档编写，所以Java程序员对其语法相当熟悉，Ant是专用于Java项目平台，能够用纯Java来开发，它能够运行于Java安装的平台，即体现了它的跨平台功能。它的缺点显示执行结果只能是DOS字符界面，不能进行复杂的java程序开发。

14、IntelliJ

Intellij IDEA是一款综合的Java 编程环境，被许多开发人员和行业专家誉为市场上更好的IDE。它提供了一系列最实用的的工具组合：智能编码辅助和自动控制，支持J2EE，Ant，JUnit和CVS集成，非平行的编码检查和创新的GUI设计器。IDEA把Java开发人员从一些耗时的常规工作中解放出来，显著地提高了开发效率。具有运行更快速，生成更好的代码；持续的重新设计和日常编码变得更加简易，与其它工具的完美集成；很高的性价比等特点。在4.0版本中支持Generics，BEA WebLogic集成，改良的CVS集成以及GUI设计器。

IntelliJ IDEA能尽可能地促进程序员的编程速度。它包括了很多辅助的功能，并且与Java结合得相当好。不同的工具窗口围绕在主编程窗口周围，当鼠标点到时即可打开，无用时也可轻松关闭，使用户得到了更大化的有效屏幕范围。以技术为导向的IDEA集成了调试器，支持本地和远程的调试，即使我们需要修改一些设置上的东西使我们的工作顺利进展。另外，它还提供了通常的监视，分步调试以及手动设置断点功能，在这种断点模式下，我们可以自动地在断点之外设置现场访问，甚至可以浏览不同的变量的值。IDE支持多重的JVM设置，几个编译程序和Ant建造系统，并且，它使得设置多重的自定义的类途径变得简单。

IntelliJ Idea是一个相对较新的Java IDE。它是Java开发环境中最为有用的一个。高度优化的IntelleJ Idea使普通任务变得相当容易，Idea支持很多整合功能，更重要的使它们设计的好容易使用。Idea支持XML中的代码实现，Idea同时还会校正XML，Idea支持 *** P的结构。作用于普通Java代码的众多功能同样适用于 *** P（比如整合功能），同时支持 *** P调试；支持EJB，尽管它不包括对个别应用服务器的特殊支持。Idea支持Ant建立工具，不仅是运行目标它还支持编译与运行程序前后运行目标，另外也支持绑定键盘快捷键。在编辑一个Ant建立XML文件时，Idea还对组成Ant工程的XML部分提供支持。IntelliJ IDEA 被称为是更好的JAVA IDE开发平台，这套软件就是以其聪明的即时分析和方便的 refactoring 功能深获大家所喜爱。缺点是较复杂，对初学者来说，理解起来比较困难。

小结

现在常用的Java项目开发环境有：JBuilder、VisualAge for Java、Forte forJava, Visual Cafe、Eclipse、NetBeans IDE、JCreator +J2SDK、jdk+记事本、EditPlus+ J2SDK等等。一般开发J2EE项目时都需要安装各公司的应用服务器（中间件）和相应的开发工具，在使用这些开发工具之前，我们更好能熟知这些软件的优点和缺点，以便根据实际情况选择应用。编程工具只是工具，为了方便人们工作而开发的，各有特点，因此，选工具主要的依据自己将要从事的领域是什么，而不是盲目的认为那种工具好，那种工具不好。最后希望大家都能找到自己合适的java 开发工具。