Web 应用安全扫描仪可进行自动化的 Web 应用安全漏洞评估工作，能够快速扫描和检测所有常见的 Web 应用安全漏洞，例如 SQL 注入、跨网站脚本攻击等。

点击，配置页面如下：

[从以下 URL 开始扫描]：定义需要扫描的目标网站地址，支持输入域名和IP 地址等多种形式的 URL。

点击右边的，可以进行网站设置：

[不用登录]：默认扫描过程中不需要登录网站。

[记录表单登录信息]：扫描仪可以通过登入表单信息来记录用户的登录过程，这样扫描仪在遇到登录时，会根据用户录入的信息自行登录，进行更深入扫描。

点击[运行环境]时，扫描仪首先根据起始 URL 自动探测目标环境，用户也可以手动进行配置：

[WEB 服务器]：选择目标网站的服务器类型

[操作系统]：选择目标网站上所运行的操作系统，例如 unix(linux) [WEB 技术]：选择目标网站所使用的 WEB 技术，例如 php，ASP 等。

[第三方应用程序]：如果使用了第三方的应用程序，可选择相应的选项，例如 discuz 等

[扫描模板]中定义了扫描目标网站所使用的参数集合，点击 进行模板编辑：

[模板名称]：定义扫描模板的名称。[描述]：定义扫描模板的描述。

[超时时间(秒)]：设置扫描器扫描过程中等待服务器应答的超时时间。

[最大重试次数(次)]：当扫描器等待服务器应答超时时，最多重试的次数。[最大线程数(个)]：扫描器同时处理的最大请求数目。该数值的大小主要依

赖设备性能(此数值过高可能造成 CPU 占用较高)和服务器的性能(此数值过高可能造成服务器阻塞)。若不确定设备和服务器性能，请使用默认大小。

[最长扫描时间(分钟)]：该数值用于限制爬虫在爬取网页过程中的最大时长，超时则停止爬取，进入漏洞探测阶段。

[扫描最大文件(byte)]：扫描器爬取网页的过程中，大于该数值的网页将被忽略。

[加强扫描]：扫描程序对某些漏洞的发现采取一些绕过手段，主要为了绕过waf 的防护。选择的绕过手段越强，将尝试更多的绕过，扫描时间也会相应增加。

没有任何防护措施时不建议打开。

[一般加强]：选用部分绕过手段。[全部加强]：打开全部绕过手段。

[代理]：设置访问应用程序的代理服务器地址和端口。[不使用代理]：不使用代理时，选中此项。

勾选[指定代理]，表明使用代理

[连接地址]：代理服务器的 IP 地址或域名

[端口]：代理服务器的端口

[自定义 404]：自定义 404 页面，扫描器爬取过程中，如果返回的页面匹配到列表中正则表达式的将被直接认为是 404 页面。当向服务器请求不存在的页面时，如果返回的不是 404，最好在此添加。

勾选[区分大小写]，在爬取网页时，将区分 URL 的大小写。

勾选[仅扫描此目录和子目录下的链接]，在爬取网页时，将只扫描 URL 路径下的目录和子目录，不会扫描本域名外的第三方链接和同域名下的其它目录。

设置[最大爬取目录深度]，扫描器在爬取网页时将限制爬取的 URL 目录深度，从设置的 URL 算起，超过此深度值的 URL 将被忽略。

[忽略 URL]：点击[新增]，可输入排除 URL 的正则表达式。扫描器爬取过程中，匹配上[忽略 URL]列表的 URL 将被扫描器忽略

[忽略文件类型]：点击[新增]，可输入文件类型和扩展名(多个扩展名用分号隔开)。扫描器在爬取过程中，匹配上[忽略文件类型]列表的 URL 文件将被扫描器忽略。

[忽略参数]：扫描器在爬取过程中，匹配上[忽略参数]列表参数的 URL 将被扫描器忽略。

[测试策略]：选择要测试的扫描项，扫描项分为完整和快速两种，扫描项越多耗时越长。

点击下图的[添加]，打开新增测试策略界面：

[测试策略名称]：定义新增的测试策略名称。输入测试策略名称，并完成测

试插件勾选后，点击 按钮，即可完成测试策略的新增。

配置好扫描模板、URL 以及网站模板后即可点击 按钮进行 web漏洞的扫描，如下图：

扫描完毕后会显示一些统计信息，如下图：

[页面 URL]：表明扫描器从该[页面 URL]探测出漏洞。

[测试对象]：表明扫描器从[页面 URL]中探测漏洞的位置，例如参数： username。

 

注意：若测试对象为无，则表示扫描器是基于整个页面甚至整个 HTTP应答包的探测。

[测试结果]：表明扫描器探测漏洞的过程和凭据。[测试结果]文字描述部分是扫描器漏洞探测的方法过程，文本框是漏洞探测的 html 页面源码，文本框高亮部分是触发扫描器认为存在漏洞的地方。

[类型]：表示漏洞的类型名称。

[严重等级]：表示漏洞的严重等级。有“高”，“中”，“低”三种级别。[描述]：对该漏洞的简述

[参考网站]：用户可以参考[参考网站]，以获得对该漏洞的进一步了解和其它帮助。

[建议方案]：是深信服科技安全工程师针对该漏洞给出的改进建议。用户可以结合网站的实际情况进行漏洞修复，目的是要避免该漏洞对网站可能造成的影响。

点击导出 HTML 报表，用户可以通过导出的文件查看 WEB 安全报表。