打开终端，扫描敲下 `nmap -sV 192.168.1.100`，网页看到目标主机开了80端口，漏洞跑着Apache 2.4.49。扫描这个版本有个著名的网页路径穿越漏洞，CVE-2021-41773。漏洞我打算用Kali里的扫描工具试试能不能读到/etc/passwd。

先别急着上扫描器。网页手动确认一下比较踏实。漏洞用curl发个请求：

curl -v --path-as-is http://192.168.1.100/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd

返回200，扫描内容里出现了root:x:0:0。网页漏洞存在。漏洞这时候再打开nikto或者gobuster，扫描效率会高很多。网页很多人一上来就 `nikto -h target`，漏洞结果扫出一堆误报，还得手动过滤。先做指纹识别和基础探测，能省掉不少麻烦。

Kali里做Web漏洞扫描，工具多到用不完。nikto适合快速过一遍常见问题，但它对现代框架的误报率不低。我习惯先用whatweb看看目标用了什么CMS、什么JS库。比如扫到一个WordPress站点，版本是5.8，那可以直接去WPScan数据库里查对应漏洞。WPScan在Kali里预装了，命令也简单：

wpscan --url http://target.com --enumerate vp,vt

vp枚举易受攻击的插件，vt枚举主题。输出会直接标出CVE编号和利用方式。有一次扫到一个老站，WPScan报出Contact Form 7的某个版本存在文件上传漏洞，我顺着提示找到PoC，十分钟就拿到了webshell。这种效率是手动翻源码比不了的。

目录爆破是另一个高频操作。gobuster、dirb、ffuf都用过。ffuf速度快，支持多线程和自定义字典。我常用这套：

ffuf -u http://target.com/FUZZ -w /usr/share/wordlists/dirb/common.txt -mc 200,301,302,403

只显示有意义的响应码，不然满屏404看着头疼。有一次扫一个电商站，common.txt跑完没发现什么，换用SecLists里的raft-medium-directories.txt，跑出来一个 /backup/ 目录，里面躺着整个数据库的SQL导出文件。字典的选择比工具本身更重要。

SQL注入检测，sqlmap是绕不过去的。但别直接 `sqlmap -u "http://target.com?id=1" --batch` 就完事。先手工测一下单引号，看报错信息。确认有注入点再用sqlmap，加上 `--level=3 --risk=2` 慢慢跑。有次遇到一个站，sqlmap跑半天没结果，手工试了 `id=1 AND 1=1` 和 `id=1 AND 1=2`，页面返回内容长度不同，说明存在布尔盲注。sqlmap默认的payload可能被WAF拦了，换成 `--tamper=space2comment` 才跑通。

XSS检测用XSStrike或者手动构造payload。Kali里XSStrike不是预装的，需要从GitHub克隆。它的DOM检测做得不错，能自动分析JS里的危险函数。不过实际渗透中，反射型XSS的利用价值越来越低，存储型才是重点。扫描器很难自动确认存储型XSS，得结合手工测试。在留言板提交 ``，刷新页面看是否弹窗，这个动作扫描器替代不了。

扫描报告别直接扔给客户。nikto的输出里一堆OSVDB编号，客户看不懂。整理成表格，列出漏洞名称、风险等级、复现步骤、修复建议。有一次我扫出一个目录列表漏洞，报告里写“Apache默认配置允许目录浏览”，客户回复说他们用的是Nginx。回头一看，是扫描器把Nginx的autoindex误判成Apache了。工具的输出永远需要人工复核。

最后提一句，Kali里的扫描工具再强，也替代不了对HTTP协议的理解。知道GET和POST的区别、Cookie怎么传、Session怎么维持，比会敲几条命令重要得多。工具只是把手工测试流程自动化了，脑子还得自己带。