网络漏洞扫描工具Acunetix Web Vulnerability Scanner(AWVS)使用介绍

使用AWVS对域名进行全局分析，深入探索

在安全测试领域，Acunetix Web Vulnerability Scanner（简称AWVS）算得上是一位“老将”了。作为一款知名的网络漏洞扫描工具，它通过模拟爬虫的行为深入探测网站，专门揪出常见的安全漏洞。有趣的是，早在2015年6月，官方就发布了里程碑式的AWVS 10版本，足见其历史与积淀。

想体验这款工具的朋友，不妨去Freebuf等技术社区找找资源。今天，我们的重点不在于如何获取，而在于如何用好它。

手头这个版本是9.5，得益于吾爱破解论坛高手的贡献，让我们能深入体验其功能。在此，必须向这些背后的技术牛人致敬。

好了，铺垫完毕，咱们直接进入实战环节。

启动与基础配置

安装成功后，启动AWVS，你会看到如下主界面：

接下来，点击左上角的“New Scan”，准备添加一个扫描目标，这里以http://172.30.0.2为例：

点击下一步，会来到“Scanning Profile”配置页。这里其实就是选择扫描时要使用的“武器库”——即检测哪些类型的漏洞（Payload）。

默认情况下，所有选项都是勾选的。对于首次全面侦察，保持默认全选就是个不错的开始。继续下一步，AWVS这时会自动发挥它的侦察能力，尝试识别目标服务器的Banner信息、操作系统类型、Web中间件以及服务端脚本语言等，结果一目了然：

关键设置：登录序列（Login Sequence）

再点下一步，会看到一个叫“Login Sequence”的选项。这个功能值得多聊两句。

当需要对网站进行深度扫描时，这个功能就派上用场了。它的原理是，让工具模拟登录行为。如果你不提供登录凭证，扫描器就像一位普通访客，只能看到公开页面。而那些需要登录后才能访问的“权限页面”，就会被挡在门外，无法被检测。这里，我们暂且使用默认设置，跳过登录配置。点击下一步，来到最终确认页面。

点击“Finish”，整个扫描任务才正式启动。在此之前，所有操作都只是配置。

扫描结果解读与漏洞分析

扫描完成后，界面会呈现一份清晰的结果报告：

看右边，Process进度显示100.0%，意味着扫描已彻底完成。界面上方的图标体系很直观：红色感叹号代表高危漏洞，黄色是中危，蓝色是低危，绿色则通常为信息泄露提示。对于渗透测试而言，优先关注红色高危漏洞，往往能事半功倍。

瞧，这里标记了一个XSS漏洞。接下来，咱们就深入看看这个漏洞的详情。点击红色感叹号前的加号，逐层展开资源树，你会发现下面列出了多个“Variant”（变量）：

这些“Variant”正是漏洞可能存在的位置。点击任意一个，右侧面板就会显示详细的漏洞描述：

This script is possibly vulnerable to Cross Site Scripting (XSS) attacks.
Cross site scripting (also referred to as XSS) is a vulnerability that allows an attacker to send malicious code (usually in the form of Ja vascript) to another user. Because a browser cannot know if the script should be trusted or not, it will execute the script in the user context allowing the attacker to access any cookies or session tokens retained by the browser.
This vulnerability affects /.
Discovered by: Scripting (XSS.script).

为了获取更多上下文，可以点击“View HTTP Headers”查看相关的HTTP请求头信息：

GET /user.php HTTP/1.1
Cookie: PHPSESSID=599km020nnmc8e8p0i4ketd3i4; ucp_lang=Chinese; login_user=Chinese'"()&%prompt(915518)
Referer: http://172.30.0.2:80/
Connection: Keep-alive
Accept-Encoding: gzip,deflate
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/28.0.1500.63 Safari/537.36
Accept: */*
Host: 172.30.0.2

再点击“View HTML Response”，果然看到了弹窗证据：

报告指出，是login_user这个参数存在反射型XSS漏洞。但工具报告归报告，手动验证永远是金标准。万一是误报呢？

手动验证：去伪存真

如果漏洞疑似存在于GET请求参数中，我们可以直接用浏览器模拟攻击尝试。打开Firefox、Chrome等浏览器，在地址栏或通过其他方式尝试构造攻击Payload。

经过手动测试，发现并未弹出工具所提示的“915518”弹窗。这说明什么？很可能这是一次误报。

你看，即便是AWVS这样的权威工具，其结果也需要谨慎验证。整个过程梳理下来，其他类型漏洞的分析思路也大同小异，无非是查看详情、理解原理、手动复现。至于AWVS更深阶的功能，比如编写自定义验证脚本，那就是另一个广阔天地了，有兴趣的朋友可以自行探索。

至此，一次完整的AWVS扫描与基础分析流程就清晰了。记住，工具是延伸我们能力的利器，但最终的分析与判断，依然离不开人的经验和验证。