打开一个网站，常用随手输个单引号，洞扫页面报错把数据库版本吐了出来——这种场景我见过太多次。描工搞Web安全，常用工具不是洞扫万能的，但没有工具是描工万万不能的。下面聊几个实际干活时真正会打开的常用扫描器，不堆参数，洞扫只说人话。描工

Burp Suite：绕不开的常用瑞士军刀

做Web渗透的人，硬盘里可以没有游戏，洞扫但不能没有Burp。描工它的常用Scanner模块能被动爬取流量，边浏览边标记可疑点。洞扫我习惯把Proxy拦截打开，描工手动点一遍功能，Burp在后台默默记下所有请求，然后右键“Scan”扔给扫描器跑。

社区版没有主动扫描，但Proxy+Repeater+Intruder三件套已经够用了。真正值钱的是它的可扩展性——BApp Store里装个Logger++，所有请求响应按时间轴排好，排查逻辑漏洞时比翻浏览器控制台舒服得多。缺点也明显：主动扫描吃内存，跑大站时风扇狂转，而且对前端JavaScript渲染的页面基本抓瞎。

AWVS：批量刷站的快枪手

Acunetix Web Vulnerability Scanner，老牌商业扫描器。它的强项是爬虫效率高，输入一个域名，半小时内能把整站链接、表单、参数全扒出来，然后挨个测SQL注入、XSS、文件包含。早年做等保测评，客户扔过来几十个站，时间紧任务重，AWVS开着批量扫描，报告直接导出PDF交差。

但它误报率不低。有次扫出一个“高危SQL注入”，我复现了半天，发现是页面把单引号原样输出到了HTML里，根本没进数据库。所以AWVS的报告不能直接信，得手动验证。另外它对新式框架的路由解析经常出问题，Vue或React单页应用扫出来一堆404，实际接口一个没碰到。

Xray：被动扫描的省心选择

长亭的Xray，国内用得很多。它的逻辑和Burp不同——主要靠被动代理，你把浏览器流量导进去，它根据响应特征判断漏洞。好处是不用配爬虫规则，你正常点网站，它顺带就把活干了。我习惯把它挂在Burp下游，Burp负责拦截改包，Xray负责自动扫描，互不干扰。

社区版免费，但限制并发和部分高级POC。企业版支持自定义YAML脚本，遇到偏门漏洞可以自己写检测逻辑。有个细节：Xray对JSON接口的检测比AWVS准，尤其是未授权访问和敏感信息泄露这类逻辑问题，它靠响应对比能揪出来。

Nikto：老而弥坚的体检工具

Nikto不测SQL注入，也不管XSS。它干的事很单纯：连上目标Web服务器，把常见危险文件、过期组件、配置错误挨个请求一遍。比如`/server-status`是否暴露、`phpinfo.php`是否存在、Apache版本有没有已知CVE。输出结果密密麻麻，但胜在快，几秒钟扫完一个站。

我通常把它放在信息收集阶段，和whatweb、nmap配合。Nikto的数据库更新不算勤，但作为第一轮筛子够用了。有次扫到一个站开着`/backup.zip`，下载下来是整站源码，这种低级错误Nikto一抓一个准。

工具之外的事

扫描器再强，也替代不了手动测试。逻辑漏洞、越权、支付篡改，这些工具基本无能为力。我见过太多人开着扫描器跑一晚上，第二天对着报告抄一遍就交差，实际漏掉的业务漏洞一抓一大把。工具是放大镜，不是眼睛。真正值钱的，还是你对着请求响应琢磨的那几个小时。