御剑后台扫描工具

凌晨两点，御剑隔壁工位的后台实习生还在对着Burp Suite发愁。他扫了个电商站，扫描跑完整个字典只找到个robots.txt。工具我递过去一个U盘，御剑里面装着御剑后台扫描工具的后台老版本。十分钟后，扫描他盯着屏幕上的工具/admin/login.php愣住——那是个没做任何防护的后台入口，密码还是御剑admin。

御剑这工具，后台说白了就是扫描个目录爆破器。它不搞什么花哨的工具漏洞探测，就干一件事：拿字典里的御剑路径挨个试。但就是后台这种笨办法，在真实渗透里往往比那些重型扫描器管用。扫描为什么？因为后台地址这玩意儿，很多开发根本不上心。你猜猜国内中小站点的后台路径有多少是/admin、/manage或者/houtai？我用它扫过上百个站，保守估计三成能撞上默认路径。

这工具的界面丑得让人想起XP时代的绿色软件。没有图形化进度条，没有彩色报告，就一个黑框框往上刷路径。但它的字典质量是真的扎实。默认字典里收录了从/phpmyadmin到/ewebeditor这类老牌敏感目录，还按大小写、常见变体做了冗余。有个细节我印象很深：它连/admin/index.php.bak这种备份文件都能扫出来，说明作者当年是真扒过大量真实服务器的。

用的时候得有点耐心。线程开太高容易被WAF封IP，开太低又慢得像蜗牛。我习惯先跑一遍快速模式摸个底，再用自定义字典做二次深挖。有一次测试某政务系统，默认字典全灭，我加了份从GitHub上扒的dirsearch字典进去，居然扫出个/api/v1/debug接口，直接泄露了数据库连接串。你看，工具本身不神，关键看你怎么组合使用。

话说回来，御剑早就不更新了。作者最后发布的版本还停留在2015年前后，连HTTPS的支持都时好时坏。但这反而成了它的优势——因为新出的扫描工具大多做了请求频率限制，反而容易被安全设备识别。御剑这种“老古董”发出去的请求头，混在正常流量里反而不起眼。我试过拿它打某个云WAF防护的站点，居然没触发拦截，倒是同期的AWVS一上来就被ban了。

现在网上能下到的御剑多半带后门或者捆绑木马。我U盘里这份是当年从某安全论坛存下来的干净版，MD5校验过没问题。你要是真想用，建议去虚拟机里跑，或者用wine在Linux下运行。别嫌麻烦——这工具就像把老式撬棍，用好了能撬开不少生锈的门锁，但前提是你得知道门后面有什么。

最后说句实在话。工具再顺手，也替代不了判断力。我见过有人拿御剑扫出后台后，兴冲冲输了个admin/123456，还真进去了。结果发现是个蜜罐，IP被记录，第二天甲方就打电话来问“你们是不是搞渗透测试了”。所以啊，扫到后台只是第一步，能不能安全退出来，才是真本事。