AWVS 漏洞扫描工具超详细使用教程-优快云博客

AWVS 漏洞扫描工具超详细使用教程

一、AWVS 工具简介

Acunetix Web Vulnerability Scanner（简称 AWVS）是一款自动化 Web 漏洞扫描工具，支持所有基于浏览器访问、遵循 HTTP/HTTPS 协议的网站扫描。

AWVS 核心工作原理为爬虫抓取页面 + 特征漏洞匹配，自动遍历网站所有目录与接口，批量检测网站安全风险。
可检测漏洞包含：SQL 注入、XSS 跨站脚本、目录遍历、任意代码执行、文件包含、越权访问等常见 Web 高危漏洞。

相比于人工渗透测试，AWVS 自动化程度高、扫描速度快、漏洞覆盖面广，能够极大降低测试时间成本，非常适合网络安全初学者入门学习，是渗透测试中最主流的自动化扫描工具之一。

二、Kali 系统安装 AWVS

1、文件解压

将提前下载好的 AWVS 安装包与破解补丁文件，拖拽至 Kali 系统自定义目录，右键解压到当前文件夹。

2、授予文件权限

打开终端，切换至高权限模式：

sudo su

利用 chmod 命令赋予安装包与激活文件运行权限：

chmod 755 acunetix_trial.sh
chmod 777 patch_awvs

权限说明：
chmod 权限数值中，7 代表可读、可写、可执行，5 代表可读、可执行；绿色文件代表权限授予成功。

3、执行安装程序

进入文件解压目录，执行安装脚本：

./acunetix_trial.sh

安装过程中按照提示回车确认，等待程序自动安装完成。
安装结束后，终端会生成本地访问地址：https://192.168.239.132:13443

注意：必须使用 HTTPS 协议访问，HTTP 协议无法打开页面，浏览器点击高级选项，继续访问不安全链接即可。

进入页面后登录账号密码，在 Administrator —— Profile 中可查看当前许可证状态。

4、工具激活配置

cp patch_awvs /home/acunetix/.acunetix_trial/v_190325161/scanner/

2. 进入激活目录

cd /home/acunetix/.acunetix_trial/v_190325161/scanner/

执行激活脚本

./patch_awvs

4. 激活成功后，刷新页面，关闭自动更新，避免激活失效。

三、AWVS 核心页面功能介绍

AWVS 前端界面简洁，左侧六大核心功能模块，覆盖完整扫描流程：

Dashboard（仪表盘）：汇总所有扫描记录、漏洞数量、高危风险统计，直观展示整体安全状况。
Targets（目标库）：用于添加、管理所有待扫描的网站、IP、域名目标。
Vulnerabilities（漏洞列表）：展示所有扫描出的漏洞详情、漏洞等级、危害描述、修复建议。
Scans（扫描任务）：启动、暂停、管理扫描任务，查看实时扫描进度。
Reports（报告中心）：支持导出 HTML、PDF 格式的专业漏洞扫描报告。
Settings（系统设置）：配置代理、扫描速度、插件开关、账号密码、更新设置等。

四、AWVS 实战扫描案例

1、启动 AWVS 服务

service acunetix_trial start

查看服务是否启动成功，显示 active(running) 即为正常运行。

2、登录后台

Linux 默认端口：13443
Windows 默认端口：3443
浏览器访问：https://127.0.0.1:13443，输入安装时设置的账号密码登录。

3、添加扫描目标

在 Targets 模块添加目标 IP / 域名，示例：http://59.63.200.79:8804/

4、扫描参数配置

Scan Speed（扫描速度）：速度越慢，扫描精度越高、漏报率越低；新手建议选择慢速扫描。
Site Login：针对需要登录的站点，可配置账号密码，扫描站内权限漏洞。
AcuSensor：开启插件辅助探测，提升漏洞检出率。

5、启动扫描

选择完整扫描模式，保存配置，点击 Create Scan 开始扫描。
扫描过程中会自动抓取网站中间件版本、操作系统、脚本语言、目录结构，并匹配漏洞特征。

注意：AWVS 扫描存在误报、漏报情况，所有扫描结果必须人工复测验证，不能直接作为最终漏洞结论。

五、扫描报告分析与使用

扫描结束后，在 Reports 模块可生成完整安全报告。
报告包含：

目标资产基本信息（IP、域名、服务器版本、系统信息）；
所有漏洞清单，按高危、中危、低危、信息漏洞分级展示；
每一个漏洞的漏洞原理、危害风险、漏洞复现路径、官方修复方案；
整体网站安全评分与风险总结。

报告可直接用于渗透测试作业、企业安全巡检、漏洞整改参考。

六、AWVS 使用注意事项

合法合规：AWVS 仅可用于自己授权测试的资产，禁止扫描未授权网站，违者触犯网络安全法。
拒绝过度依赖工具：自动化工具只能辅助挖掘漏洞，核心高危漏洞仍需人工验证，工具结果仅作参考。
禁止更新：破解版本一旦更新会导致激活失效，功能受限。
谨慎扫描：大流量扫描可能导致目标网站卡顿、宕机，测试时合理控制扫描速度。
结果复核：工具普遍存在误报，必须人工逐条验证漏洞真实性。

七、总结

AWVS 是网络安全渗透测试中最基础、最常用的自动化漏洞扫描工具，操作简单、覆盖面广，极大降低了新手挖洞门槛。

熟练掌握 AWVS 的安装、配置、扫描、报告分析流程，是 Web 安全学习的必备基础。但工具只是辅助，真正的安全测试需要结合人工漏洞验证、原理分析、漏洞修复，才能完整完成一次合规、专业的渗透测试工作。

最后

网络安全需要学习那些知识

网络安全零基础入门学习路线&规划

初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

在这里插入图片描述

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习；搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统；熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。
在这里插入图片描述