Bueno, he encontrado esto por ahi, es un analizador para aplicaciones pequeñas :
http://geekotic.com/2008/05/10/anali...icaciones-web/
Tambien he visto esta, basada en Java:
http://parosproxy.org/download.shtml
Justamente las voy a probar
Mi pregunta es: cuando lanzas el analizador de vulnerabilidades, el codigo se esta ejecutando, no? quiero decir, esta online? que mas da pues, que la arquitectura este basada en un framework?