第一次用 AWVS 扫自己的漏洞测试站，不到三分钟，扫描报告里蹦出 47 个漏洞。漏洞高危 12 个，扫描SQL 注入占了 5 个。漏洞我当时盯着屏幕愣了半天——那套代码是扫描我照着教程一行行敲的，自认为把参数都过滤了。漏洞结果 AWVS 用一个简单的扫描单引号就把我的 `mysql_real_escape_string` 绕过去了。后来才知道，漏洞问题出在 GBK 编码上，扫描宽字节注入。漏洞这东西教程里没讲，扫描AWVS 直接给我上了一课。漏洞

AWVS 全称 Acunetix Web Vulnerability Scanner，扫描圈里人一般就叫它 AWVS。漏洞它本质上是个自动化爬虫加漏洞检测引擎。工作逻辑不复杂：先把目标网站的所有链接、表单、参数爬出来，然后针对每个输入点，塞进去一堆恶意 payload，看服务器返回什么。返回报错信息、返回数据库内容、返回延迟响应——这些异常就是它判断漏洞的依据。

它最擅长的是 SQL 注入和 XSS。SQL 注入这块，AWVS 的 payload 库很全，报错注入、布尔盲注、时间盲注都覆盖。我见过它对一个 `id=1` 的参数，先试 `1'`，再试 `1 AND 1=1`，接着 `1 AND SLEEP(5)`。服务器如果睡了五秒，报告里立刻标红。XSS 也类似，反射型、存储型、DOM 型都测，payload 从最简单的 `` 到各种编码变形，几千条往里灌。

但 AWVS 不是万能的。有次我拿它扫一个前后端分离的站，爬虫跑完只找到三个页面。原因很简单——前端是 Vue 写的，路由全靠 JS 渲染，AWVS 的爬虫不执行 JS，自然爬不到接口。后来我手动把 API 地址填进它的“目标 URL”列表，才扫出东西来。所以别指望它开箱即用，配置不对，漏报能漏到你怀疑人生。

扫描速度可以调。默认设置下，它每个参数只发几个请求，快但容易漏。把“扫描速度”拉到最慢，“测试每个参数的 payload 数量”调高，一个中等规模的站能扫一整天。我一般晚上挂着跑，第二天早上看报告。有个小技巧：扫描前先手动浏览一遍目标站，把关键业务路径走通，AWVS 的爬虫会记录你的 cookie 和访问轨迹，爬取覆盖率能提高不少。

报告里的漏洞分三六九等。高危、中危、低危、信息泄露。别被高危数量吓到，有些是误报。比如它报“HTML 注释泄露敏感信息”，点进去一看，注释里写着 ``。这种直接忽略。但 SQL 注入、命令执行、文件包含这类，必须逐个手工验证。我习惯把 AWVS 的请求包复制到 Burp Suite 里，改改参数再发一次，确认是不是真能利用。

还有个坑：AWVS 扫内网系统时，如果目标用了自签名证书，它会直接报 SSL 错误然后跳过。得在设置里把“忽略证书错误”勾上。另外，有些 WAF 会封 AWVS 的 IP，扫着扫着就 403 了。这时候要么换代理，要么把扫描速度降到最低，模拟真人访问频率。

我现在的流程是：AWVS 先跑一遍全量扫描，拿到初步结果。然后针对它标记的疑似注入点，用 sqlmap 二次验证。XSS 则丢给 XSStrike 或者手动测。AWVS 的价值在于覆盖面广、省时间，但最终确认漏洞能不能用，还得靠人。工具再强，也替代不了对业务逻辑的理解。比如越权漏洞，AWVS 基本扫不出来，因为它不知道用户 A 和用户 B 的角色差异。这种只能靠手工测。

最后说个细节。AWVS 的“扫描子目录”选项，默认是不勾的。如果你的站是 `example.com/app/` 这种结构，不勾这个选项，它只扫根目录，`/app/` 下面的东西全漏。我第一次用的时候就栽在这上面，扫完报告干干净净，还以为自己代码写得多好。