awvs13扫描漏洞不全，扫描这事儿我太有发言权了。漏洞上周拿它扫一个内网测试站，不全报告出来干干净净，扫描就俩中危。漏洞我差点信了。不全还好手贱，扫描用sqlmap手动试了一下那个登录框——三秒钟，漏洞报错注入，不全数据库名都吐出来了。扫描awvs愣是漏洞没看见。

这不是不全个例。awvs13的扫描爬虫能力，放在2024年看，漏洞确实有点跟不上趟。不全它默认的爬取深度和方向，对现在那些重JS渲染的SPA应用基本是瞎的。你站点是Vue或者React写的，页面内容全靠ajax拉，awvs13那套传统爬虫逻辑就抓瞎了。它扫到的只是空壳HTML，漏洞自然无从谈起。

还有个坑在登录态。awvs13的登录录制器，遇到验证码或者多步登录流程，经常录完还是登不进去。扫出来的结果全是未授权状态下的东西，真正藏在后台的接口，它压根没碰。我见过有人拿它扫一个后台管理系统，报告显示零漏洞，结果登录进去随便翻翻，越权漏洞一抓一大把。

配置问题也容易导致漏报。很多人装完awvs13直接用默认扫描策略，那玩意儿扫得浅。默认策略对高危漏洞的检测项开得多，但对逻辑漏洞、越权、水平权限这些，基本是关闭的。你需要在扫描策略里手动勾选“Blind SQL Injection”、“XSS (DOM-based)”、“Directory Traversal”这些进阶选项，不然它根本不会往那个方向测。

另外，awvs13对某些WAF的绕过能力也弱。目标站点套了云锁或者安全狗，awvs13的payload还没到应用层就被拦了，它不会尝试变形或者编码绕过，直接给你报个“目标不可达”或者干脆忽略。这时候报告里漏洞数量自然少得可怜，但真实风险一点没少。

那怎么办？我的习惯是，awvs13只当第一道筛子，扫完必须人工复核。拿Burp Suite挂上代理，把awvs的爬虫结果重新过一遍，重点看那些带参数的请求，手动改改参数值，看看响应有没有异常。尤其是文件上传、下载、编辑、删除这类操作，awvs13基本测不出越权，得靠人肉测。

还有一招，把awvs13的扫描并发调低，超时时间调长。它默认的并发太高，经常把目标站搞出超时，然后直接跳过某些目录。调低之后，扫描时间变长，但覆盖率能上去不少。我扫同一个站点，默认配置用了40分钟，调完参数跑了快三个小时，多挖出四个高危。

最后说句实在话，awvs13不是不能用，但别把它当万能药。它适合做常规漏洞的快速摸底，不适合做深度渗透测试。真要测全，还是得靠人脑加工具组合拳。工具给的是线索，结论得自己下。