AWVS（Acunetix Web Vulnerability Scanner）大概是网站市面上最老牌的商业网站扫描器之一。我见过不少安全团队把它当标配，扫描也见过有人嫌它贵，器下转去用开源工具折腾半天，网站最后又装回来。扫描今天这篇不谈虚的器下，直接讲怎么把它弄到手，网站以及下载前后你最好知道的扫描那点事。

先说下载渠道。器下官方路径是网站Acunetix官网，进去找“Download”或者“Trial”按钮。扫描它提供14天免费试用，器下功能全开，网站不阉割。扫描填个公司邮箱，器下收个验证邮件，就能拿到下载链接。这过程不复杂，但有个坑——官网偶尔会抽风，或者你的企业邮箱把验证邮件当垃圾邮件拦了。遇到这种情况，换Gmail或Outlook，基本能解决。

下载文件分Windows版和Linux版。Windows版是个exe安装包，一路Next就行，没什么好说的。Linux版是个.sh脚本，需要你在命令行里跑。我见过不少人卡在这一步——不是脚本跑不了，而是忘了先给执行权限。chmod +x acunetix.sh，就这么简单，但就是有人漏了。

安装完，默认监听端口是3443。浏览器打开https://localhost:3443，会看到证书警告。别慌，这是自签名证书，点“高级”然后“继续前往”就行。第一次登录要设置管理员密码，然后它会逼你填一个License——试用版的话，把注册时发到你邮箱的激活码贴进去就完事。

这里有个细节值得注意：AWVS的Linux版安装需要root权限，而且它对系统依赖有要求。比如Ubuntu 20.04上装没问题，但你要是用个CentOS 7，可能得先补一堆库。我前阵子在一台Debian 11的VPS上装，一切顺利，但换到另一台老掉牙的CentOS 7机器上，折腾了半小时才搞定依赖。所以，有条件的话，挑个新一点的系统。

下载安装只是第一步，真正考验人的是后续的扫描配置。AWVS默认会带几个扫描模板，比如“Web Vulnerability Scan”和“Full Scan”。新手建议直接选Full Scan，省心。但别指望它点一下就能扫出所有漏洞——AWVS对JavaScript渲染的页面有时候会漏报，尤其是那种重度依赖Vue或React的单页应用。这时候你需要在Target设置里把“Crawl from”改成带井号（#）的URL，或者手动加几个登录后的Cookie，才能扫得更深。

另外，AWVS的更新频率不算快，但它的漏洞库质量在商业产品里算靠谱的。用的时候别光看报告里的高危漏洞数，多留意它给出的修复建议——有些建议真的能直接抄作业，比如“把Apache版本升到2.4.54以上”这种，省得你自己去查CVE。

最后提一句破解版的事。网上流传的所谓“AWVS破解版”或者“永久License”，十有八九带后门。安全工具本身被植入恶意代码，这笑话一点儿也不好笑。我见过有人图省事下载了破解版，结果扫描器变成了挖矿木马，CPU飙到100%，那场面相当尴尬。能用试用版就用试用版，14天不够的话，换个邮箱再注册一次也不是不行——当然，这招不太光彩，我就不多说了。

下载这事本身不难，难的是装完以后怎么用明白。如果你只是临时扫个站，那官方试用版完全够用；要是长期用，还是老老实实掏钱买授权吧。安全这行，工具是次要的，脑子才是主要的。