web渗透检测工具

凌晨两点，透检我盯着屏幕上的测工404页面，手指在键盘上悬了半分钟。透检那个后台登录框就藏在注释掉的测工HTML代码里，而扫描器在第三轮才把它翻出来。透检这就是测工渗透检测的常态——工具不是万能的，但没有工具，透检你连门都摸不着。测工

Nmap永远是透检第一把钥匙。别听人吹什么“全端口扫描”，测工真正干活时我习惯先扫常见端口，透检-T4 -sV 参数跑完，测工目标的透检服务版本、操作系统指纹基本就摊在桌面上了。测工有一次客户说他们的透检服务器“绝对安全”，结果Nmap扫出个开了3389的Windows Server 2003，远程桌面直接暴露在公网。这活儿根本不需要什么高级技巧，工具一跑，漏洞自己就跳出来了。

但扫描器只会告诉你“有什么”，不会告诉你“为什么”。Burp Suite才是真正动手的地方。我习惯把代理挂在8080端口，浏览器里点一遍所有功能，看着请求在Intercept窗口里刷刷流过。有一次测一个电商站，发现结算接口的price参数就是个明文数字。改个0.01，提交，订单居然真的按一分钱走了。那种感觉怎么说呢——工具给了你手术刀，但切口还是得自己找。

SQLMap这种自动化工具，我反而用得越来越谨慎。它确实能一把梭，但碰上WAF（Web应用防火墙）就歇菜。有回测一个政府网站，SQLMap跑了两小时，被拦截了三百多次，最后手工构造一个/*!50000union*/+select的注释绕过，三秒钟就出数据了。工具是死的，思路是活的，这话一点都不假。

目录扫描我推荐dirsearch，字典够全，速度也快。但别指望它一步到位——很多敏感路径是被robots.txt或者JS文件泄露出来的。我习惯把扫描结果和前端源码里的注释、接口文档、甚至图片的EXIF信息交叉比对。上个月挖一个CMS后台，就是靠一张上传图片的EXIF里留下的服务器绝对路径，顺藤摸瓜找到了备份文件。

还有一类工具容易被忽视：浏览器开发者工具。别笑，F12的Network面板和Console里能挖出大量信息。某个金融App的H5页面，我在Console里看到一个未捕获的Promise错误，直接抛出了内网API的完整地址。这比任何扫描器都来得直接。

工具选型这事儿，得看场景。打CTF比赛时我习惯用Kali里预装的那一套，但真实渗透时，我经常自己写Python脚本处理一些重复性请求。有一次目标站对登录接口做了时间戳校验，BurP的Intruder跑不了，我花二十分钟写了个带时间戳生成的脚本，效率比什么现成工具都高。

说到底，工具只是延伸了你的眼睛和手。它们能快速枚举、能批量验证，但真正的漏洞往往藏在业务逻辑的缝隙里。我见过有人拿着AWVS扫了一整宿，报告打出来几十页，最后发现漏洞出在密码找回的验证码没做失效时间——这玩意儿扫描器根本测不出来。

所以我的习惯是：Nmap开道，Burp Suite跟进，SQLMap和dirsearch做辅助，最后永远留一个小时纯手工测。工具跑完的数据，我会用Python脚本过滤一遍，把那些重复的、误报的、低危的筛掉。剩下的，才是需要你泡杯咖啡，对着Burp的Repeater慢慢琢磨的东西。

技术这行，工具更新得比谁都快。今天用的神器，明天可能就被补丁堵死了。但有一点不变：你得知道自己在找什么。工具是枪，但扣扳机的手，得知道瞄哪儿。