w3af 基于Python的Web应用扫描器

全称”Web Application Attack and Audit Framework“——Web应用程序攻击审计框架。W3af是一个基于Python的Web应用扫描器。W3af 是一个 Web 应用程序攻击和检查框架。该项目已超过 130 个插件，其中检查 SQL 注入，跨站点脚本（XSS），本地和远程文件等。该项目的目标是要建立一个框架，以寻找和开发 Web 应用安全漏洞，很容易使用和扩展。

一、插件简介

1.1、主要插件

1、Crawl（爬取）类

职责：通过爬取网站站点来获取新的URL地址、表单、注入点。

如果用户启用了Crawl类型的多个插件，此时将产生一个循环：A插件第一次运行时发现一个新的url，w3af会将其发送到插件B。如果B插件发现一个新的url则会发送到插件A，这个过程持续进行直到所有插件都已运行且无法找到更多的信息。

2、Audit（审计）类

该类插件会向Crawl插件爬取出的注入点发送特制的POC数据以确认漏洞是否存在。

3、Attack（攻击）类

如果Audit插件发现了漏洞，Attack将会进行攻击和利用，通常会在远程服务器上返回一个shell或者比如SQL注入则会获取数据库的数据。

1.2、其他插件

1、Infrastructure（基础）插件

这类插件用来标识有关目标系统的信息，如安装的WAF，操作系统和HTTP守护进程等。

2、Grep（检索）插件

这类插件会分析其他插件发送的HTTP请求和相应并识别漏洞

3、Output（输出）插件

这类插件会将插件的数据保存到文本，xml或者是html文件中。调试的信息也会发送到输出Output插件并可保存和分析。

如果启用了text_file和xml_file这两个Output插件，则这两个都会记录有Audit插件发现的任何漏洞。

4、Mangle插件

允许修改基于正则表达式的请求和响应。

5、Broutforce插件

在爬取阶段进行暴力登陆。

6、Evasion（绕过）插件

通过修改由其他插件生成的HTTP请求来绕过简单的入侵检测规则。

二、安装

2.1、在windows上安装

官网的最新版本已经不提供windows的安装方法，目前有一个旧版的exe安装包，提供给大家下载。百度云地址如下：

链接：百度网盘请输入提取码

密码：rpwl。

下载成功后，直接运行exe进行安装即可。

安装完成后，桌面上多了两个图标w3af Console和w3af GUI：

打开w3af GUI，会同时打开命令行界面和图形界面：

fast_scan：快速扫描模块

OWASP_TOP10：漏洞扫描器模块

2.2、在linux上安装

在开始安装之前，请确保您已准备好以下软件：

Git 客户端：sudo apt-get install git
Python 2.7，默认安装在大多数系统中 apt install python
Pip版本 1.1：sudo apt-get install python-pip

git clone https://github.com/andresriancho/w3af.git
cd w3af/
./w3af_console # 大概率因为缺失依赖失败，此命令将在/tmp/w3af_dependency_install生成依赖脚本
. /tmp/w3af_dependency_install.sh # 执行依赖脚本后再执行./w3af_console

w3af具有两个用户界面，控制台用户界面和图形用户界面。

要启动控制台 UI，请执行：

$ ./w3af_console
w3af>>>

图形用户界面，您可以通过执行以下命令开始：

$ ./w3af_gui

Docker安装：

运行 Docker 安装后，以下步骤将产生一个正在运行的控制台：w3af

$ git clone https://github.com/andresriancho/w3af.git
$ cd w3af/extras/docker/scripts/
$ sudo ./w3af_console_docker # 用户名：root，密码：w3af
w3af>>>

help：获得每个配置参数的详细帮助

view：列出所有可配置参数及其值和说明

set：用于更改值

back：返回上一个菜单，也可以使用Ctrl+C

三、插件配置

除了attack插件之外，所有插件都可以使用plugins这个配置菜单进行配置。

下面是列出 audit（审计）类型的所有插件：

w3af>>> plugins
w3af/plugins>>> list audit
|-----------------------------------------------------------------------------|
| Plugin name | Status | Conf | Description |
|-----------------------------------------------------------------------------|
| blind_sqli | | Yes | Identify blind SQL injection |
| | | | vulnerabilities. |
| buffer_overflow | | | Find buffer overflow vulnerabilities. |
...

假设要启用xss和sqli插件，需要用到以下命令：audit xss, sqli

w3af/plugins>>> audit xss, sqli
w3af/plugins>>> audit # 我们可以在audit中看到Status为Enabled。
|----------------------------------------------------------------------------|
| Plugin name | Status | Conf | Description |
|----------------------------------------------------------------------------|
| sqli | Enabled | | Find SQL injection bugs. |
| ssi | | | Find server side inclusion |
| | | | vulnerabilities. |
| ssl_certificate | | Yes | Check the SSL certificate validity |
| | | | (if https is being used). |
| un_ssl | | | Find out if secure content can also |
| | | | be fetched using http. |
| xpath | | | Find XPATH injection |
| | | | vulnerabilities. |
| xss | Enabled | Yes | Identify cross site scripting |
| | | | vulnerabilities. |
| xst | | | Find Cross Site Tracing |
| | | | vulnerabilities. |
|----------------------------------------------------------------------------|
w3af/plugins>>>

如果带上 desc命令，还会显示这个插件的详细信息 audit desc xss

w3af/plugins>>> audit desc xssThis plugin finds Cross Site Scripting (XSS) vulnerabilities.One configurable parameters exists:
- persistent_xssTo find XSS bugs the plugin will send a set of javascript strings to
every parameter, and search for that input in the response.The "persistent_xss" parameter makes the plugin store all data
sent to the web application and at the end, request all URLs again
searching for those specially crafted strings.w3af/plugins>>>

查看xss插件的配置菜单 audit config xss：在配置菜单可以使用view列出配置参数和值说明也可以使用set进行修改，如修改True为false：

w3af/plugins>>> audit config xss
w3af/plugins/audit/config:xss>>> view
|-----------------------------------------------------------------------------|
| Setting | Value | Description |
|-----------------------------------------------------------------------------|
| persistent_xss | True | Identify persistent cross site scripting |
| | | vulnerabilities |
|-----------------------------------------------------------------------------|
w3af/plugins/audit/config:xss>>> set persistent_xss False
w3af/plugins/audit/config:xss>>> back
The configuration has been saved.
w3af/plugins>>>

四、保存配置

设置插件和框架配置后，可以保存此配置文件中的信息

w3af>>> profiles
w3af/profiles>>> save_as tutorial
Profile saved.

配置文件将另存为文件~/.w3af/profiles/tutorial.pw3af。保存的配置可以加载以运行新扫描：

w3af>>> profiles
w3af/profiles>>> use fast_scan
The plugins configured by the scan profile have been enabled, and their options configured.
Please set the target URL(s) and start the scan.
w3af/profiles>>>

与其他用户共享配置文件可能会有问题，因为它们包括插件配置引用的文件的完整路径，这需要用户共享配置文件、引用的文件，并手动编辑配置文件以匹配当前环境。要解决此问题，该标志已添加：self-contained

w3af>>> profiles
w3af/profiles>>> save_as tutorial self-contained
Profile saved.

五、开始扫描

5.1、配置插件

常规扫描的话，我们建议使用以下的配置运行w3af：

crawl类插件使用web_spider插件
audit 类插件设置成Enable all
grep类插件设置成Enable all

配置命令如下：

插件状态：

5.2、输出扫描报告——output

不设置默认只会在console上输出扫描信息。

一般我们再加上输出csv_file（表格）和html_fiel（网页）两种格式的扫描报告。

扫描报告默认会保存在/root目录下，你可以使用out config命令去设置。

保存配置——profiles # /root/.w3af/profiles/

5.3、设置目标，开始扫描——target，start

w3af>>> target
w3af/config:target>>> set target http://ip/
w3af/config:target>>> back
w3af>>> start

六、脚本实现自动化

在开发w3af时，我们意识到需要快速简便的方法反复执行相同的步骤，因此脚本功能诞生了。w3af可以使用参数运行脚本文件。脚本文件是每行有一个命令的文本文件。示例脚本文件如下所示： -s w3af_console

plugins
output text_file
output config text_file
set output_file output-w3af.txt
set verbose True
back

七、案例

搭建服务：

git clone https://github.com/sqlsec/ByteCTF2021-Final-SEO.git
cd ByteCTF2021-Final-SEO/Dockerfile
docker-compose up -d

web服务：http://192.168.11.135:80

检测到可能的sql注入点

八、参考

Installation — w3af - Web application attack and audit framework 2019.1.2 documentation

w3af · 渗透工具使用指南 · 看云

web渗透测试在线网站_RuleZero的博客-CSDN博客_渗透测试网站