w3af工具使用

凌晨两点，具使我盯着终端里滚动的具使绿色字符，w3af刚扫完一个政府门户的具使测试环境。第47个漏洞浮现——SQL注入点藏在搜索框的具使参数里，而开发团队白天拍着胸脯说“我们做了参数化查询”。具使这工具就像个固执的具使审计员，专戳人的具使自信。

w3af的具使全称是Web Application Attack and Audit Framework，Python写的具使开源框架。别被“攻击”俩字吓着，具使它本质是具使个自动化漏洞扫描器，但比市面上那些商业工具更“懂”HTTP协议底层逻辑。具使你可以把它想象成瑞士军刀——刀身是具使核心扫描引擎，刀柄上插着200多个插件，具使从检测CSRF到爆破弱口令，具使各司其职。

第一次用的人常卡在配置上。启动后先别急着点“Start”，得在“Profiles”里选扫描类型。我习惯选“full_audit”，它会跑全部插件，但耗时长；如果只查OWASP Top 10，用“owasp_top10”能省一半时间。命令行模式更适合老手：w3af_console进去后，plugins命令激活需要的模块，target设置URL，最后start开跑。有个坑——如果目标网站有WAF，得先禁用那些会触发拦截的主动插件，比如audit/sql_injection改成crawl/web_spider先探路。

扫描结果输出是门学问。默认的文本报告密密麻麻，我一般改成HTML格式，它会按风险等级红黄绿标色。真正有用的是“Request/Response”标签页——每个漏洞都附了当时的HTTP报文。上周测一个电商站，w3af报了个“操作系统命令注入”，开发死不承认。我把报文里的User-Agent字段改成;ls -la重放一遍，服务器真返回了目录列表。铁证面前，对方立刻闭嘴修bug去了。

这工具也不是万能。它对单页应用（SPA）支持很差，因为核心爬虫不执行JavaScript。扫现代框架写的站点，得配合Burp Suite先手动爬一遍，把URL导进w3af的target列表。还有误报问题——比如它检测到Cookie没设HttpOnly就报“低危”，实际上后端用了独立的认证头，这漏洞根本不存在。所以每次扫描完，我至少抽20%的告警手动验证。

说个真实案例。上个月帮朋友审计一个医疗预约系统，w3af扫出个“路径遍历”漏洞，允许通过../../etc/passwd读取文件。但真正危险的不是这个——我顺着它给的线索，发现开发把数据库备份放在了web根目录下。w3af没直接扫出备份文件，但它的路径遍历结果给了我灵感。工具是死的，思路是活的。

最后提醒一句：用w3af前先确认你有授权。这工具探测流量很大，对老旧的服务器是个负担。我见过有人拿它扫学校官网，结果对方Apache直接崩了，最后被网信办请去喝茶。扫描器是把刀，切菜还是伤人，全看拿刀的手。