AWVS是一款可以提高Web应用程序安全性的自动化工具。虽然他能够发现Web应用程序中隐藏的漏洞，但是在通过应用程序防火墙（WAF）保护的Web应用程序中却无法正常运行。本文将介绍如何使用AWVS过WAF扫描，并提供一些基本的代码示例。

一、WAF的初步介绍

WAF是一种防护Web应用程序的安全工具。它通过监控和过滤来自网站上的HTTP流量，以识别并阻止恶意攻击者对Web应用程序的攻击。WAF通常是在Web服务器和外部网络之间部署的，以便对所有流量进行检查并删除潜在的威胁。

Web应用程序开发人员通常使用WAF作为第一线的安全防御措施。遗憾的是，这样做需要他们了解和配置WAF以适应特定的应用程序和攻击类型。这也使WAF容易被针对指定目标的攻击所绕过。

二、AWVS与WAF的关系

AWVS使用被动扫描技术扫描Web应用程序中的漏洞。它并不会发送任何攻击数据，因此对于WAF而言，AWVS的流量看起来像是用于正常浏览站点的用户数据。因此，WAF不会对AWVS扫描流量做任何特殊处理。

AWVS可以检测到许多Web应用程序中的漏洞。例如，SQL注入，跨站点脚本（XSS），文件包含，远程文件包含以及命令注入等漏洞。通过在WAF保护的Web应用程序上使用AWVS扫描，可以帮助检测WAF所不能检测的漏洞。

当然，通过AWVS扫描也不能完全规避WAF的保护。攻击者可以使用模拟浏览器的工具来生成攻击流量，从而绕过WAF和AWVS的检测。但是，这种