打开浏览器，网站输入一个域名，后台页面正常加载。目录但你知道这个网站背后还藏着多少没被链接出来的扫描页面吗？后台登录入口、测试环境、网站备份文件、后台数据库管理面板——这些东西通常不会出现在导航栏里，目录但它们确实存在于服务器上。扫描目录扫描干的网站就是这件事：用一份字典，挨个去敲门，后台看哪个门没锁。目录

我第一次接触目录扫描是扫描在一次内部渗透测试里。目标是网站一个看起来挺正规的企业官网，前台页面做得干干净净。后台随手跑了一遍常见目录字典，目录结果跳出来一个 /backup/ 目录，直接列出了一堆 .sql 和 .zip 文件。数据库导出文件就那么大咧咧躺在那儿，连权限验证都没有。这种事儿说出来像编的，但真发生过太多次了。

字典决定你能看到什么

目录扫描的核心不是工具，是字典。工具本身逻辑很简单：拼接URL，发请求，看状态码。200就是存在，403是被禁止但存在，301/302是跳转，404就是没有。真正拉开差距的是你用什么字典去跑。

有人拿几千条的小字典跑一圈，没结果就放弃了。换个五万条的字典再跑，后台地址就出来了。这不是玄学，是覆盖率问题。不同的CMS、不同的框架，默认路径都不一样。WordPress有/wp-admin/，Spring Boot Actuator有/actuator/，Tomcat有/manager/html。你字典里没有这些条目，工具再快也扫不出来。

我习惯根据目标技术栈来定制字典。先看响应头、Cookie名称、报错页面的特征，判断大概用的什么框架，然后从自己的字典库里挑对应的那份。比无脑上大字典效率高得多，请求数也少，不容易触发WAF。

状态码会骗人

新手最容易踩的坑就是只看200。有些服务器配置了自定义404页面，返回的状态码是200，内容却是“页面不存在”。你跑出来一堆200，打开一看全是同一个错误页。反过来，有些目录返回403，你以为没戏了，其实只是目录列表被关了，里面的具体文件照样能访问。

所以扫描的时候得做过滤。按响应体大小过滤，把那些大小一模一样的200响应全排除掉。再按内容hash去重，同一个页面的不同路径只保留一个。这些操作在Burp Suite或者ffuf里都能配，不复杂，但不做的话结果就是一团噪音。

速度与隐蔽的平衡

扫得越快，越容易被封。这个道理谁都懂，但具体怎么调，得看目标。云WAF通常对高频404有阈值，比如每分钟超过200次就封IP。内网环境就无所谓了，直接开满线程跑。

我一般先用低并发探一下，看目标有没有速率限制。如果没有，再逐步加线程。遇到CDN的话，还得考虑真实IP的问题，不然扫了半天扫的是CDN节点，什么也扫不到。

还有个细节：User-Agent。默认的python-requests或者curl UA，有些WAF直接拉黑。换成正常浏览器的UA，通过率会高不少。这不是什么高级技巧，但很多人就是懒得改。

扫到了之后呢

找到后台入口只是第一步。接下来要判断这个后台有没有弱口令、有没有未授权访问、有没有已知的CVE。一个/admin/路径本身不是漏洞，但它缩小了攻击面。从“整个网站”变成“一个登录框”，测试的针对性就强多了。

我见过最离谱的情况是，扫出来一个/phpmyadmin/，root账号空密码，直接进数据库。也见过扫出来/.git/目录，把整个源码拖下来的。这些都不是什么高深的技术，纯粹是运维疏忽。目录扫描的价值就在于，它能把这种疏忽找出来。

工具推荐的话，ffuf够快，dirsearch够全，gobuster够简单。选哪个不重要，重要的是字典和过滤规则。别指望一键扫出漏洞，那不存在。目录扫描是信息收集的一环，不是终点。