三种常见的 Web 漏洞扫描工具：AWVS、AppScan 和 Xray。AWVS 和 AppScan 为商业软件，需购买授权后安装使用；Xray 为开源社区版工具，支持主动与被动扫描。重点讲解了 Xray 的命令行参数配置、代理模式设置及常见漏洞检测模块的使用方法。文章强调安全测试应遵循法律法规，仅在授权范围内使用工具进行授权扫描，并提供了证书导入及输出格式控制的具体操作指南。
漏洞扫描是网络安全评估中的核心环节，旨在自动检测目标系统或应用程序中存在的安全弱点。通过整合多种扫描工具，安全人员可以更全面地发现潜在风险。本文介绍三款主流漏洞扫描工具：AWVS、AppScan 和 Xray，重点讲解其合法合规的安装与使用方法。
AWVS 是一款商业化的 Web 应用漏洞扫描器，支持主动和被动扫描模式。它拥有庞大的漏洞特征库，能够检测 SQL 注入、XSS、命令注入等多种常见漏洞。
由于 AWVS 为商业软件，用户需通过官方渠道购买授权后下载并安装。安装过程通常包括以下步骤：
注意：请勿使用非官方提供的修改版或破解补丁，以免引入安全风险或违反软件许可协议。
安装完成后，启动浏览器访问 AWVS 管理界面（通常为 http://localhost:3000）。创建新任务，输入目标 URL，选择扫描策略即可开始扫描。扫描结果可在控制台查看详细的漏洞报告及修复建议。
IBM AppScan Standard 是企业级 Web 安全测试工具，提供深度代码分析和运行时扫描能力。它支持多种开发框架，适合在开发阶段集成安全测试流程。
启动 AppScan 后，新建扫描项目。可配置爬取规则以覆盖更多页面，然后启动扫描。扫描结束后，分析生成的报告，重点关注高危漏洞及其复现步骤。
Xray 是由长亭科技开源的社区版漏洞扫描神器。它支持主动、被动多种扫描方式，自备盲打平台，可以灵活定义 POC。Xray 功能丰富，调用简单，支持 Windows / macOS / Linux 多种操作系统，非常适合自动化 Web 漏洞探测需求。
.exe 文件即可使用，无需额外环境依赖。Xray 主要通过命令行进行操作，建议在终端中进入 Xray 所在目录执行。
只扫描单一 URL，不进行爬虫。
xray webscan --url http://example.com
使用基础爬虫爬取指定 URL 下的链接，并对所有发现链接进行漏洞扫描。
xray webscan --basic-crawler http://example.com
通过 HTTP 代理进行被动扫描，适用于浏览器流量分析。
xray webscan --listen 127.0.0.1:7777 --html-output proxy.html
设置浏览器 HTTP 代理为 http://127.0.0.1:7777，即可自动分析代理流量。使用前需将 ca.crt 证书导入浏览器信任列表。
--text-output filename.txt：输出到文本文件。--json-output filename.json：输出到 JSON 文件。--html-output filename.html：输出到 HTML 文件。默认启用所有内置插件，也可手动指定本次运行的插件，多个插件间使用逗号分隔。
xray webscan --plugins cmd-injection,sqldet --url http://example.com
xray genca，生成 ca.crt 文件。ca.crt，按向导导入到受信任的根证书颁发机构。通过合理使用上述工具，安全团队可以有效提升 Web 应用的安全性，降低被攻击的风险。
微信公众号「极客日志」，在微信中扫描左侧二维码关注。展示文案：极客日志 zeeklog
将字符串编码和解码为其 Base64 格式表示形式即可。 在线工具，Base64 字符串编码/解码在线工具，online
将字符串、文件或图像转换为其 Base64 表示形式。 在线工具，Base64 文件转换器在线工具，online
将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。 在线工具，Markdown转HTML在线工具，online
将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。 在线工具，HTML转Markdown在线工具，online
通过删除不必要的空白来缩小和压缩JSON。 在线工具，JSON 压缩在线工具，online
将JSON字符串修饰为友好的可读格式。 在线工具，JSON美化和格式化在线工具，online