Добрый день!

Да, w3af отработал быстро, найдя на тестовых жертвах по паре XSS, когда там по десятку SQLi еще есть, которые находят сабжи (все виды SQL в w3af были выставлены). Думаю, если в w3af выставить полный crawling, то, конечно найдет, только вот время будет сопоставимо с Netsparker и Acunetix.

Хотелось бы еще свежий Xspider опробовать, но в сети одно старье.