# 🔒 Web Security Analyzer Pro v3.0
高级开源 Web 安全扫描器
[](https://python.org)
[](LICENSE)
[]()
[]()
[](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki)
WSA Pro 可测试网站和服务器中 49 种不同类型的安全漏洞、具有已知 CVE 的过时软件以及危险的服务配置错误 —— 所有这些都在内置隐身引擎规避 WAF 检测的情况下完成。
## ⚠️ 法律警告
此工具专为**合法的安全测试**而设计。
### ✅ 允许的使用
- 测试您自己的网站和服务器
- 经目标所有者**书面授权**的渗透测试
- 受控实验室环境中的教育目的
- 夺旗赛 (CTF) 竞赛
- 安全研究和漏洞评估
### ❌ 禁止的使用
- 未经明确许可扫描网站
- 未经授权的渗透测试
- 任何恶意或非法活动
- 违反计算机欺诈和滥用法
### 适用法律
- **美国：** 计算机欺诈和滥用法 (CFAA)
- **英国：** 1990 年计算机滥用法
- **欧盟：** 通用数据保护条例 (GDPR)
- 您所在司法管辖区的本地网络安全法律
**开发者对未经授权或非法的使用不承担任何责任。您需全权负责遵守所有适用的法律。**
## 📊 功能
### 安全模块（共 49 个）
| 类别 | 数量 | 模块 |
|----------|:-----:|---------|
| **CMS** | 11 | WordPress (9), Joomla, Drupal |
| **Web 服务器** | 5 | Apache, Nginx, LiteSpeed, IIS, Tomcat |
| **PHP** | 4 | 版本、配置、危险函数、信息 |
| **数据库** | 5 | MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch |
| **控制面板** | 4 | cPanel, DirectAdmin, Plesk, Virtualmin |
| **漏洞** | 12 | XSS, SQLi（高级）, DOM XSS, LFI, RFI, XXE, SSTI, CSRF, 命令注入, 文件上传, SSRF, 反序列化 |
| **SSL/TLS** | 3 | 证书、协议、加密算法 |
| **Headers** | 2 | 安全 Headers、信息泄露 |
| **API 安全** | 3 | GraphQL, REST API, JWT |
### 高级 SQL 注入扫描器
- **基于错误** — 从数据库错误消息中检测注入
- **基于布尔的盲注** — 比较 TRUE/FALSE 响应差异
- **基于时间的盲注** — 测量响应延迟 (SLEEP, pg_sleep, WAITFOR DELAY)
- **基于 UNION** — 通过 ORDER BY 自动检测列数
- **数据库指纹识别** — 识别 MySQL, PostgreSQL, MSSQL, Oracle, SQLite
### 规避引擎
- **User-Agent 轮换** — 15+ 种真实浏览器配置文件
- **智能速率限制** — 具有随机抖动的可配置延迟
- **WAF 检测** — 识别 Cloudflare, Sucuri, Wordfence, AWS WAF, ModSecurity, Akamai, Imperva
- **Captcha 检测** — reCAPTCHA, hCaptcha, Cloudflare Turnstile
- **指数退避** — 自动重试并增加延迟
- **Proxy 支持** — HTTP, HTTPS, SOCKS5, Tor 网络
### 报告
- **HTML** — 交互式图表、可折叠部分、响应式设计
- **PDF** — 专业布局、A4 格式、可直接打印
- **Markdown** — 兼容 GitHub、纯文本、对版本控制友好
- **JSON** — 机器可读、API 集成、为 CI/CD 就绪
### 附加功能
- **内置 CVE 数据库** — 包含 CVSS 评分的 2024-2026 年漏洞
- **REST API** — 自动化和 CI/CD 集成
- **模块化架构** — 易于通过自定义模块进行扩展
- **230+ 自动化测试** — 99.5% 通过率
- **交互式 CLI** — 用户友好的菜单系统
- **多语言报告** — 英文输出并附带修复指南
## 📦 安装说明
### 前置条件
- Python 3.9 或更高版本
- pip 包管理器
- Git（可选）
### 快速安装
```
# Clone repository
git clone https://github.com/miladrezanezhad/web-security-scanner-pro.git
cd web-security-scanner-pro
# 安装依赖
pip install -r requirements.txt
# 运行 scanner
python main.py
```
### 一行命令安装
```
git clone https://github.com/miladrezanezhad/web-security-scanner-pro.git && cd web-security-scanner-pro && pip install -r requirements.txt && python main.py
```
[完整安装指南 →](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Installation)
## 🚀 快速开始
```
# 交互模式（推荐初学者使用）
python main.py
# 快速安全审计（4 个关键 module）
python main.py quick https://example.com
# 使用全部 49 个 module 进行全面扫描
python main.py scan https://example.com
# 仅特定 module
python main.py scan https://example.com --modules wordpress,xss,sqli
# 针对受保护站点的 Stealth mode
python main.py scan https://example.com --mode stealth
# 生成报告
python main.py scan https://example.com --format html pdf json
```
[完整使用指南 →](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Usage)
## 📊 示例输出
```
╔══════════════════════════════════════════════════════════════════════╗
║ Web Security Analyzer Pro v3.0 ║
╚══════════════════════════════════════════════════════════════════════╝
Target: https://example.com
Mode: stealth
Started: 2026-05-14 10:30:00
Running 15 security modules...
✓ wordpress: WordPress 6.4.2 detected
✓ php: PHP 8.1.26 detected
✓ ssl: TLS 1.3, Grade A
✓ headers: 3 missing security headers
🚨 xss: 2 reflected XSS found
🚨 sqli: 1 time-based SQLi found (MySQL)
🚨 cpanel: WHM accessible on port 2087
═══════════════════════════════════════════════════
📊 Scan Summary
═══════════════════════════════════════════════════
CRITICAL: 2 ⚠️
HIGH: 4 ⚠️
MEDIUM: 7 ⚠️
LOW: 3 ✅
INFO: 8 ℹ️
───────────────────────────────────────────────────
TOTAL: 24 findings
═══════════════════════════════════════════════════
Duration: 45.5 seconds
Report saved: reports/output/audit.html
```
## 🆚 与其他工具对比
### 为什么选择 WSA Pro？
| 功能 | **WSA Pro** | WPScan | Nikto | OWASP ZAP | Nuclei | Burp Suite Pro | Acunetix |
|---------|:---:|:---:|:---:|:---:|:---:|:---:|:---:|
| **价格** | 免费 | 免费/付费 | 免费 | 免费 | 免费 | $449/年 | $4,500/年 |
| **开源** | ✅ | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| **模块** | 49 | 5 | 30 | 40 | 100+ | 100+ | 100+ |
| **WordPress** | ✅✅✅ | ✅✅✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| **cPanel/DirectAdmin** | ✅ | ❌ | ❌ | ❌ | ❌ | ❌ | ⚠️ |
| **规避引擎** | ✅✅✅ | ⚠️ | ⚠️ | ❌ | ❌ | ❌ | ❌ |
| **WAF 检测** | ✅ (9 种 WAF) | ❌ | ❌ | ❌ | ❌ | ✅ | ✅ |
| **SQLi（高级）** | ✅ (4 种) | ❌ | ✅ (基础) | ✅ | ✅ | ✅✅✅ | ✅✅✅ |
| **DOM XSS** | ✅ | ❌ | ❌ | ✅ | ✅ | ✅ | ✅ |
| **内置 CVE 数据库** | ✅ (2024-26) | ✅ | ❌ | ❌ | ❌ | ❌ | ✅ |
| **PDF 报告** | ✅ | ❌ | ✅ | ✅ | ❌ | ✅ | ✅ |
| **REST API** | ✅ | ✅ | ❌ | ✅ | ✅ | ✅ | ✅ |
| **CLI 界面** | ✅ | ✅ | ✅ | ✅ | ✅ | ❌ | ❌ |
| **GUI 界面** | ❌ | ❌ | ❌ | ✅ | ❌ | ✅ | ✅ |
| **学习曲线** | 简单 | 简单 | 中等 | 中等 | 中等 | 困难 | 中等 |
### 排名
| 排名 | 工具 | 评分 | 价格 |
|:----:|------|:-----:|-------|
| 1 | Burp Suite Pro | 9.5 | $449/年 |
| 2 | Acunetix | 9.3 | $4,500/年 |
| 3 | Nessus | 9.0 | $2,790/年 |
| 4 | Netsparker | 8.8 | $5,000/年 |
| **5** | **WSA Pro** | **8.5** | **免费** |
| 6 | OWASP ZAP | 8.0 | 免费 |
| 7 | Nuclei | 7.5 | 免费 |
| 8 | SQLMap | 7.0 | 免费 |
| 9 | Nikto | 6.0 | 免费 |
| 10 | WPScan | 5.5 | 免费/付费 |
**WSA Pro 是评分最高的完全免费的 Web 安全扫描器。**
### 独特优势
- 🥇 唯一支持 **cPanel、DirectAdmin、Plesk** 扫描的免费工具
- 🥇 唯一配备**高级规避引擎**的免费工具（WAF 检测、自动重试）
- 🥇 唯一拥有截至 2026 年**内置 CVE 数据库**的免费工具
- 🥇 单一工具集成 **49 个模块**（大多数免费工具只能做 5-10 件事）
## 📁 项目结构
```
web-security-scanner-pro/
├── main.py # Entry point
├── config.yaml # Configuration
│
├── core/ # Core engine
│ ├── scanner.py # Main orchestrator
│ ├── browser.py # HTTP client with stealth
│ ├── evasion.py # WAF bypass & anti-detection
│ ├── database.py # CVE vulnerability database
│ ├── reporter.py # Report generation
│ ├── updater.py # Database updater
│ └── api.py # REST API server
│
├── modules/ # 49 security test modules
│ ├── cms/ # WordPress (9), Joomla, Drupal
│ ├── webserver/ # Apache, Nginx, LiteSpeed, IIS, Tomcat
│ ├── php/ # Version, Config, Functions, Info
│ ├── database/ # MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch
│ ├── control_panels/ # cPanel, DirectAdmin, Plesk, Virtualmin
│ ├── vulnerabilities/ # XSS, SQLi, LFI, XXE, SSTI, CSRF, etc.
│ ├── ssl_tls/ # Certificate, Protocols, Ciphers
│ ├── headers/ # Security Headers, Info Disclosure
│ └── api_security/ # GraphQL, REST API, JWT
│
├── database/ # Vulnerability data
│ ├── vulnerabilities_2024.py
│ ├── vulnerabilities_2025.py
│ └── vulnerabilities_2026.py
│
├── reports/ # Report templates
│ └── templates/
│ ├── report.html
│ └── report.md
│
└── tests/ # 230+ automated tests
├── core/
└── modules/
```
## 📚 文档
完整文档可在 [Wiki](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki) 中查看：
| 页面 | 描述 |
|------|-------------|
| [首页](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki) | 项目概述 |
| [安装](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Installation) | 安装指南 |
| [使用](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Usage) | 使用方法 |
| [模块](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Modules) | 全部 49 个模块 |
| [规避引擎](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Evasion-Engine) | 隐身功能 |
| [漏洞数据库](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Vulnerability-Database) | CVE 数据库 |
| [报告](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Reporting) | 报告生成 |
| [API 参考](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/API-Reference) | REST API 文档 |
| [扫描模式](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Scan-Modes) | 隐身/正常/激进 |
| [配置](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Configuration) | config.yaml 指南 |
| [常见问题](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/FAQ) | 常见问题解答 |
| [故障排除](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Troubleshooting) | 错误修复 |
| [贡献](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki/Contributing) | 添加模块 |
## 🧪 测试
```
# 运行所有测试
python tests/test_runner.py
# 运行特定测试
python -m pytest tests/modules/test_wordpress.py -v
python -m pytest tests/core/test_core_database.py -v
# With coverage
python -m pytest tests/ --cov=core --cov=modules --cov-report=html
```
**测试结果：**
- 230+ 自动化测试
- 99.5% 通过率
- 覆盖全部 49 个模块和 6 个核心组件
### 快速模块模板
```
class Scanner:
def __init__(self, browser, target_url, config):
self.browser = browser
self.target_url = target_url
self.config = config
self.findings = []
def run(self):
# Your test logic
return {'findings': self.findings}
```
## 📝 许可证
该项目采用 **MIT 许可证** —— 详情请参阅 [LICENSE](LICENSE) 文件。
MIT 意味着您可以：
- ✅ 商业使用
- ✅ 修改
- ✅ 分发
- ✅ 再授权
- ✅ 私人使用
## 📞 联系方式
- **问题反馈：** [GitHub Issues](https://github.com/miladrezanezhad/web-security-scanner-pro/issues)
- **Wiki：** [文档](https://github.com/miladrezanezhad/web-security-scanner-pro/wiki)
- **讨论：** [GitHub Discussions](https://github.com/miladrezanezhad/web-security-scanner-pro/discussions)