▪什么是AWVS
Acunetix Web Vulnerability Scanner（簡稱AWVS）是一款知名的網絡漏洞掃描工具，它通過網絡爬蟲測試你的網站安全，檢測流行安全漏洞
▪AppScan是IBM公司出的一款Web應用安全測試工具，采用黑盒測試的方式，可以掃描常見的web應用安全漏洞。其工作原理，首先是根據起始頁爬取站下所有可見的頁面，同時測試常見的管理后台；獲得所有頁面之后利用SQL注入原理進行測試是否存在注入點以及跨站腳本攻擊的可能；同時還會對cookie管理、會話周期等常見的web安全漏洞進行檢測。
一、AWVS（網上還有漢化版）
網站開發時，可能會有本身的函數和編程的不規范，對Web掃描得用這種（AWVS）專用掃描器
1.進入界面如下，New Scan，輸入URL，下一步
2.點擊第一個Scanning profile掃描策略，可以在下拉列表里選擇專項掃描比如文件上傳漏洞，盲注漏洞等等，default相對掃的比較全
3.再點擊下面的Customize，可以選擇掃描行為，彈出界面如下，對web、HTTP協議了解比較多的同學可以自己設置
4.一般我們上述兩項我們都是default，然后就可以next了，界面如下，目標地址有了，基本信息也爬過來了
5.繼續next出現以下頁面
6.在彈出的頁面找見，登錄界面，輸入賬號、密碼，
出現啦錯誤，，為什么呢？？？，因為我們沒啟用父路徑
原因分析：
許多Web頁面里要用到諸如../格式的語句（即回到上一層的頁面，也就是父路徑），而IIS6.0出於安全考慮，這一選項默認是關閉的。
解決方法：
在IIS中 屬性->主目錄->配置->選項中。把”啟用父路徑“前面打上勾。確認刷新。
再重新重復6操作，
登錄成功后點擊右下角的Finish
7.保存登錄序列，他會自己保存到自己特定的路徑下
8.保存以后再打開剛才的界面，下圖紅框中就自動出現了剛剛保存的序列
9.點擊next就進入了嘗試登錄
10.完成后點擊finish，右邊紅框位置就開始掃啦（可以掃描的網站一定是遵守規則的，對於規則復雜的網站掃描不完整，所以還需要人工操作）
11.掃描完成的界面，左邊紅框顯示高危漏洞，右框對應的是我們可以進行測試的參數，圖片右邊標的文字不對，右紅框上面才是詳細說明
12.我們應該仔細研究的是下圖紅框，第一行id后邊就是上圖右紅框紅色字體——參數
13.我們把紅色字體粘貼到瀏覽器原有網站地址中，如果還能正常運行，則在上上圖右紅框中的Attack details下的Tests Performed底下找一個false的粘貼再看，網址和回車后頁面顯示如下（這一步操作的是盲注漏洞）
再去換個（隨便找個False）
報錯啦，（頁面報錯就說明我們的語句被帶到里面執行了，說明這里存在盲注的漏洞點）
14.枚舉型漏洞，可以通過爆破路徑找到重要文件
總結：：：Web可以掃出來大部分漏洞，但是有一部分掃不出來（這和他軟件的掃描策略和集成的功能是有關系的），還需要人工操作。
二、appscan
1.載入界面以及軟件初始界面
2.用法與awvs相似，點擊創建新的掃描
3.彈出如下界面，點擊下一步
4.輸入地址，選擇是否使用代理，網站需要認證的話就勾選，點擊下一步
5.點擊記錄中的使用AppScan瀏覽器的話，與AWVS第6步開始一樣，彈出網頁，找見登錄界面，輸入賬號和密碼，直接關閉AppScan打開的瀏覽器返回AppSacn就行（它會自己記錄）
6.測試策略可選，這里我們還是選擇Default，點擊下一步
7 .這一步不用動，點擊完成
8.彈出的界面選擇“是”，自己命名將掃描結果保存，開始掃描
9.掃描完畢，左側紅框是漏洞，右邊是對應說明，如下：
