Acunetix Web Vulnerability Scanner（AWVS）的下载页面上，那个蓝色的“Download”按钮其实是个陷阱。你点下去，填完邮箱、公司名、职位，等来的不是安装包，而是销售的电话。我试过三次，每次都在二十分钟内收到来自新加坡或伦敦的越洋来电，语气热情得像是你失散多年的老友。

直接说结论：AWVS的正式版没有公开直链，官方只提供14天试用版，且必须走完那套烦人的表单流程。但如果你真的急需一个能扫SQL注入和XSS的工具，又不想被销售纠缠，有几个土办法。

第一个办法，去GitHub搜“awvs cracked”或“awvs docker”。那里有热心人打包好的Docker镜像，拉下来直接跑，省去安装依赖的麻烦。我记得某个镜像的说明文档写得很实在：“仅供学习，24小时内删除”。这话你信一半就行——反正我见过有人在生产环境用了半年，也没见出什么事。

第二个办法，去官网填一个虚构的公司信息。邮箱用临时邮箱，电话填+1开头的假号码，职位写“Security Engineer”。我上次用“Acme Corp”这个经典虚构公司名，居然顺利收到了下载链接。链接指向一个.ova虚拟机镜像，约2.3GB，里面预装好了AWVS 15.x版本，导入VMware就能用。

下载速度是个玄学。官方服务器在AWS上，国内直连经常掉到几十KB/s。我试过凌晨三点下载，速度能飙到满带宽——估计是时差让欧美用户都睡了。如果你等不及，可以挂个香港或新加坡的代理，通常能稳定在2MB/s以上。

装完之后别急着扫描。AWVS默认配置会扫出一堆“高危漏洞”，但其中不少是误报。比如它对某些框架的CSRF检测，经常把正常的表单提交也标红。你得花半小时调一下扫描策略，把“Blind SQL Injection”的检测深度从“快速”改成“深入”，再把“Out-of-Band”测试关掉——这玩意在生产环境会触发WAF报警，搞不好把你自己的IP封了。

还有个细节：AWVS的更新机制很烦人。版本更新频率高，但每次更新都要重新激活。破解版通常会在更新后失效，除非你手动替换几个dll文件。我建议你下载后立刻断网，把自动更新关掉，然后用得动就行——别追求最新版，15.x和16.x在核心扫描能力上差别不大。

最后说个实在的。如果你只是偶尔扫个站，与其折腾AWVS，不如试试开源的OpenVAS或Nuclei。AWVS的强项在于它那套庞大的漏洞库和报告模板，但如果你看得懂英文漏洞描述，Nuclei的社区模板已经覆盖了90%的常见问题。AWVS的价值在于省时间，而不是扫得深——这个区别，用久了自然明白。