江湖秘笈：开源轻量Web漏扫工具 Wapiti无需漏洞库即可实现多种Web应用漏扫工作

一天一点

Hello，看官们，大家晚上好。

今天开篇首先为大家奉上的是一则工作当中的小技巧。

职场分享，如何面对难缠客户

说到安全维护或是等保测试类项目，各位安全老司机们一定不会感到陌生，对于新人看管来讲可能多少也有一些接触了。

只是工作当中总会碰到各式各样的客户，例如非常懂的或是完全不懂的。

面对不懂专业的客户怎么办？

面对不同类型的客户必然有不同样式的工作方法，特别是当那些对于等保工作完全不懂，且喜欢拿架子的客户而言，看官们是否在与他们沟通时总有一种无力和疲惫感呢？

现在，2 cats大侠我就来分享一下个人小经验。

1

赔笑脸的工作方式不可取

对于此类客户，看官们总是希望通过赔笑脸、好态度以及多伸手来尽快完成工作。

可是，各位是否思考过一个问题？那就是这类客户既然不懂，又总端着架子，那么我们常用的做法真的适合他们吗？

其实不然，面对这样的客户我们需要讲究合理的技巧和方法。而不是单纯的通过谄媚的方式来解决问题，这种做法不仅降低自身的价码，还容易在急于求成的心态下将工作做坏。

2

展现自己的专业度

可是不这样又如何能顺利完成任务呢？

2 cats大侠我个人认为，当碰到此类客户时，各位看官们应先了解当前情况。譬如我们需要客户提供哪些材料和信息，我们在拿到这些材料和信息后又能够帮助客户做些什么。

在这些思路的支撑下，我们就会有一个好的解决办法了。

首先将工作的利害关系对客户进行说明，然后告诉他们我们所做的工作是在帮助他们，而非单纯的获取某些机密信息。这样客户也会换种心态来与我们交流，而不是被我们长时间的信息收集搞得厌烦不已。

好啦，一个小小的职场经验分享，希望对于刚入行不久的新人看官们能够有所帮助，也希望各位能够快速的适应不同类型项目及客户，尽快成长为一名合格的安全老司机。

下面，进入我们今天的技术分享内容。

轻量级的渗透测试工具

今天2 cats大侠我将为大家带来一个轻量级渗透测试工具，非常简单好用。它的名字叫做Wapiti，相信有不少看官应该会接触过它。

看懂Wapiti

Wapiti作为一款开源化网页安全漏洞扫描工具，可以被用于Web应用程序的漏洞扫描和安全监测工作。它是由Python编写而成的脚本，在使用时需要电脑内先安装有Python。

Wapiti的工作方式

Wapiti采用的扫描方式为“黑盒”类的扫描技巧，可以直接对Web页面进行扫描工作，不需要Web应用程序的源代码作为支撑。

它通过对网页的脚本和表单进行扫描，然后查找到可注入脚本数据的地方。

Wapiti的特点

目前Wapiti脚本工具的主要功能有以下几个特点：

文件泄露

数据库注入

XSS

命令执行检测

CRLF注入

XXE（XML外部实体）注入

已知潜在危险文件的使用

可被绕过的htaccess弱配置

提供敏感信息的备份文件（源码泄露）

相信各位看官们一定对上面这些功能的简单展示不感到陌生，毕竟这些都是常见的Web应用或网页漏洞，只是对于源码泄漏或是危险文件这些接触较少一些。

不过这不代表着Web应用或是网页中不存在可能出现的超重量力“0Day”漏洞，因此还是谨慎为妙。

工具演示

现在进入实验展示环节。

1

首先我们启动Wapiti工具，然后找到要进行测试的选项。

对Peruggia应用进行扫描工作，并将输出的报告保存为HTML格式，保存的位置在Wapiti result目录中，这样可以跳过SQL盲目的检测工作。

2

开始对Web应用进行漏洞扫描工作，并将结果依次输出。

3

最终我们看到了报告呈现的HTML页面，这当中会展示不同类型的漏洞及相应数量。

2cats 叨叨叨

在此，2 cats大侠我要说明下，虽然Wapiti是一款轻量级且非常好用的漏洞扫描工具，无需使用漏洞库作为支撑，可是工具是死的，人却是活的。

不要单纯的认为某款工具好用就一直使用它，时间长了就会发现自己其实错过很多重要的知识和信息，甚至于因为工具的使用不当导致工作出现纰漏。

2cats 寄语

老规矩不变，

如果有任何问题依旧可以发给e品小顽童。

小顽童的邮箱是：

xiaowantong@epinjianghu.com。

也可以在微信公众号的下方留言，我们会及时整理反馈的。

期待各位的来信交流！

Believe

e品江湖

不失初心 不忘初衷

长按扫码 加关注！