Wapiti 是一套採用「黑箱掃描」模式的開源 Web 應用程式漏洞掃描器，以 Python 開發。它不需存取原始碼，直接針對部署好的網頁應用進行掃描，尋找可注入資料的腳本與表單，以此判斷腳本是否存在弱點。

專案資訊

• 開發語言： Python
• 官方網站： https://www.ict-romulus.eu/web/wapiti/home
• 下載位址： SourceForge 專案頁面

使用前需先安裝 Python 環境。

核心掃描機制：黑箱掃描

Wapiti 執行「黑箱」掃描，直接對網頁應用發送請求，分析回應，無需原始碼。它透過掃描網頁表單與腳本，找出可注入資料的入口點。

可偵測的弱點類型

• 檔案處理錯誤（本地/遠端檔案包含、readfile 等）
• 資料庫注入（PHP/JSP/ASP，SQL 與 XPath 注入）
• 跨站腳本攻擊（XSS）注入
• LDAP 注入
• 命令執行檢測（eval()、system()、passthru() 等）
• CRLF 注入（HTTP 回應分割、Session 固定等）

報告與輔助功能

• 統計弱點數量
• 成功攻擊的詳細記錄
• 弱點詳細資訊與修補建議
• 支援 HTML 與 XML 兩種報告格式

為何稱為「輕量級」？

Wapiti 不依賴龐大的弱點特徵資料庫，掃描速度較快，部署簡單，適合快速滲透測試或開發階段的自我檢測。

名稱 Wapiti 讓人聯想到 「What a pity!」——一個功能完整的 Web 應用，若因安全漏洞而遭駭，確實令人惋惜。儘管工具強大，仍需搭配人工審核與修補，才能真正守護資產安全。