kali vega工具安装

vega这玩意儿，工具在kali官方源里压根儿找不到。安装它是工具个java写的开源web扫描器，2016年就停止维护了，安装但用来扫扫常规漏洞还是工具够用的。你得去github上扒源码，安装或者找找别人打包好的工具deb包。我试过直接在kali里跑它的安装jar文件，结果报错缺库，工具折腾了半小时才搞明白怎么回事。安装

先说最省事的工具办法。打开终端，安装敲wget https://github.com/subgraph/vega/releases/download/v1.0.2/vega_1.0.2_amd64.deb，工具下载完直接dpkg -i vega_1.0.2_amd64.deb。安装如果提示缺依赖，工具就apt install -f修一下。这招在kali 2023版上实测能过，但2024版可能因为openjdk版本太新，会报个奇怪的UnsupportedClassVersionError。别慌，装个openjdk-11就能解决：apt install openjdk-11-jre，然后手动把默认java切过去。

要是deb包装完双击没反应，多半是启动脚本的问题。vega的启动脚本写得挺糙，硬编码了老路径。你直接去/opt/vega/bin/底下看那个vega文件，用文本编辑器打开，把里面的java改成/usr/lib/jvm/java-11-openjdk-amd64/bin/java，保存后重新执行。这招我帮两个朋友弄过，都成功了。

还有种情况，你下载的源码包自己编译。这活儿比想象中麻烦，vega依赖一个老版本的gradle，和新版jdk冲突得厉害。我试过一次，报错信息跟天书似的，最后直接放弃。除非你要改源码，否则别碰这条路。老实说，vega这工具界面还停留在上个时代的swing风格，丑是真丑，但它的爬虫引擎在对付一些老旧web系统时，反而比现代扫描器更不容易被拦。

装完以后，记得在vega的扫描配置里把tls选项关掉，不然访问很多https站点会直接握手失败。这算是个隐藏坑，官方文档里没写清楚，我是看github issue里有人提了才试出来的。扫描时如果发现它卡在某个url不动，大概率是编码问题，把目标站点的字符集手动设成utf-8就行。

最后说句实在话，vega已经跟不上时代了。它连基本的http/2都不支持，扫现代框架写的应用基本抓瞎。但如果你要测的是那种老掉牙的asp或php站点，它反而比burp suite更顺手——启动快，不占内存，扫描报告也干净。装好它，就当给工具库多备一把旧钥匙，指不定哪天就用上了。