打开一个网站，判断看到URL里带着 ?出网p=123，基本可以确定是渗透WordPress。换成 /index.php?有什意义m=content&c=index&a=show&catid=12&id=345 这种，PHPCMS没跑了。判断再瞄一眼页面底部，出网写着"Powered by DedeCMS"，渗透那还等什么，有什意义直接去找织梦的判断已知漏洞就行了。判断CMS这件事，出网渗透测试里属于起手式，渗透但它的有什意义价值远不止"知道对方用什么建站"这么简单。

我见过太多人拿到目标后直接上扫描器，判断一通乱扫，出网结果被WAF封了IP，渗透什么也没捞着。有经验的人会先花几分钟判断CMS类型和版本，这个动作决定了后面所有攻击路径的选择。不同CMS的漏洞库完全不一样。WordPress插件生态庞大，一个过时的Contact Form 7就能拿到RCE。Joomla的历史漏洞集中在组件层面，比如com_fields的SQL注入。Drupal那个CVE-2018-7600，影响面大到离谱，但前提是你得知道对面跑的是Drupal 7。

不知道CMS就贸然打，等于蒙着眼睛拆炸弹。

版本号同样关键。同一个CMS，7.0和7.5之间可能隔了十几个安全补丁。Discuz! X3.4的某些版本存在任意文件删除，X3.5修了，但X3.5自己又出了新的SSRF。你判断出CMS是Discuz!，下一步就是精确定位版本。怎么定位？/robots.txt、/readme.html、静态资源的版本查询字符串、meta标签里的generator字段，都是线索。有时候开发懒得删/CHANGELOG.txt，那简直是直接把版本号写在脸上。

更实际的一点：判断CMS能帮你快速找到后台入口。WordPress默认/wp-admin，Typecho是/admin，帝国CMS是/e/admin。知道了CMS，后台路径、默认账号密码规律、数据库表名前缀，这些信息全都能提前准备好。我之前打一个站，识别出是PbootCMS，直接用它默认的数据库配置文件路径读到了SQLite文件，整个过程不到十分钟。换个不认识的CMS，光找入口就得耗半天。

还有一层意义容易被忽略——判断CMS能帮你排除误报。扫描器报了个"目录遍历"，你兴冲冲跑过去，结果发现是CMS本身的路由机制，正常访问就那样。知道底层是什么，你才能区分什么是漏洞、什么是设计如此。PHPCMS的index.php?m=member&c=index&a=login看起来像参数注入，其实人家就是那样传参的。

从信息收集的角度看，CMS识别属于"指纹识别"的核心部分。服务器操作系统、Web中间件、开发语言、CMS，这四层指纹叠在一起，基本能勾勒出目标的整体轮廓。你知道对面是Linux + Nginx + PHP + WordPress，和知道是Windows + IIS + ASP.NET + 某自研系统，攻击面完全是两回事。前者你可以去翻WP的插件漏洞，后者你只能老老实实测业务逻辑。

我个人的习惯是：拿到目标，先看HTTP响应头里的X-Powered-By，再看HTML源码里的特征路径，然后跑一下whatweb。三个动作下来，大部分CMS都藏不住。剩下那些做了伪装的，比如改了后台路径、删了版本号，就得靠特定文件的MD5比对或者静态资源特征来判断。这种站往往安全意识到位，反而更值得花时间——因为一旦找到突破口，价值通常更高。

说到底，判断CMS不是目的，是手段。它让你在信息不对称的对抗里，尽量把天平往自己这边拉一点。知道对面用什么，才知道从哪里下手最省力。这跟开锁之前先看锁芯型号是一个道理。