nikto扫描漏洞

凌晨两点，描漏我盯着终端里滚动的描漏绿色字符，nikto正对着一台刚上线的描漏电商服务器做体检。第七分钟，描漏它突然停住，描漏屏幕中央跳出一行刺眼的描漏警告：/admin/ 目录存在默认登录页面，未做访问限制。描漏这不是描漏什么高深漏洞，但足够让一个实习生用弱口令闯进去。描漏

nikto是描漏个老牌Web扫描器，2001年就出生了，描漏比不少读这篇文章的描漏人年纪都大。它不搞花哨的描漏AI推理，只做一件事：拿已知的描漏、公开的描漏漏洞特征去比对目标服务器。数据库里有7000多条记录，从目录泄露到过时组件，从错误配置到危险文件。这种暴力匹配的方式很笨，但有效——毕竟大多数网站死在被反复公开的旧问题上。

我习惯把nikto当成第一道筛子，而不是万能钥匙。跑完一轮，输出文件里躺着几十条结果，其中八成是噪音。比如它经常报告/icons/目录可访问，这不过是Apache的默认配置。真正的功夫在于怎么从一堆“可能”里挑出“确实”。上个月处理过一个案例：扫描结果里有一条/backup.sql存在，开发团队说早删了，结果我wget下来一看，里面是三个月前的用户表，密码哈希还是MD5格式。nikto没骗人，是人在骗自己。

工具本身不智能，但它的输出能暴露人的懒惰。有一次我扫描内部测试环境，nikto报出/phpmyadmin/未限制访问。运维说那是临时起的环境，忘了关。忘了——这两个字在安全日志里出现的频率，比任何漏洞都高。nikto的价值恰恰在于它从不忘记，它像一本发黄的漏洞百科全书，每一条都记得清清楚楚。

有人嫌它老，觉得比不上Burp Suite或AWVS那些重型武器。这话对了一半。nikto确实不擅长爬取复杂逻辑，比如需要登录后的业务漏洞，它连看都看不到。但它的优势在于快和糙：一条命令nikto -h target.com，五分钟出结果，适合在渗透测试最开始用来摸家底。我通常让它和nmap、whatweb配合着跑，先知道目标跑着什么服务、用了什么中间件，再用nikto去撞那些已知的坑。

说个具体场景。去年帮一家制造业公司做外网评估，他们官网是个用了十年的老系统。nikto跑完，报出/cgi-bin/目录存在，里面还有test.cgi文件。顺着这条线索，我找到个未修复的Shellshock漏洞，直接远程执行了命令。整个攻击链从扫描到拿shell不到半小时，而这家公司刚通过等保三级测评。你看，测评报告里的“已加固”，和现实之间隔着多少层滤镜？

nikto的输出格式也值得吐槽，默认是普通文本，密密麻麻看着费劲。我总让它输出-Format html，再用浏览器打开，红黄绿标色，一眼分清危险等级。但别被颜色骗了，绿色不代表安全，只能说明没匹配到已知特征。真正安全要靠人去看业务逻辑、去测权限边界，nikto帮不了这些。

说到底，nikto是个扳手，不是自动驾驶。它拧得动生锈的螺丝，但判断哪颗螺丝该拧，得靠人的经验。每次扫描完，我都会把结果翻到最后一行——那是总结，统计发现了多少条潜在问题。数字高别慌，数字低也别高兴。有一次我扫一个静态博客，结果为零，干净得像刚擦过的黑板。但我知道，干净只是因为没什么可攻击的——一台nginx加几个HTML文件，连数据库都没有，攻击面小到不需要工具。

如果你刚入门安全，建议拿nikto练手。找个自己搭的靶机，跑一遍，看每条结果的说明，再去查对应的CVE编号。比看十篇理论文章都管用。工具会过时，但看问题的思路不会——知道去哪找漏洞，比会按哪个按钮重要得多。