Pkav HTTP Fuzzer 这个工具，下载现在找它的下载下载链接比三年前费劲多了。我上周帮一个做渗透测试的下载朋友找，翻遍了 GitHub、下载SourceForge 和几个老牌安全论坛，下载最后在一个 2016 年的下载博客快照里挖到了原始压缩包。这事本身就说明问题——工具还在用，下载但维护和分发几乎停摆了。下载

先说清楚它是下载什么。Pkav HTTP Fuzzer 是下载一个基于 Python 2 的 HTTP 模糊测试工具，核心功能是下载自动化发送畸形 HTTP 请求，观察服务端响应，下载用来挖 SQL 注入、下载XSS、下载目录遍历这类漏洞。下载它的优势在于插件式 payload 加载和请求变异策略，比当时很多同类工具灵活。作者是国人，早期在乌云和 FreeBuf 上有过几篇使用教程，后来乌云关站，很多资料就散了。

下载渠道现在大致分三类。第一类是 GitHub 上的 fork 仓库，搜 “pkav-http-fuzzer” 能出来七八个，但大部分是空壳或者只留了 README。有一个叫 cn-pkav 的仓库相对完整，最后提交在 2018 年，Python 2.7 环境跑得起来。第二类是安全工具合集包，比如一些老版本的 “渗透测试工具箱” 压缩包，里面往往夹带这个工具，但版本号混乱，有的被改过配置。第三类是论坛附件，像 T00ls、吾爱破解的历史帖，需要注册和积分，附件可能已经失效。

我实际测试了三个来源。GitHub 那个 cn-pkav 仓库下载后，pip install -r requirements.txt 会报错，因为依赖的 requests 版本太老，得手动降级到 2.18.4。论坛附件那个压缩包解压后多了一个 config.ini，里面默认代理指向一个已经挂掉的 IP，不改的话所有请求都超时。还有一个网盘链接，点进去是 “文件已取消”。

如果你只是临时用一下，最省事的办法是找一台还能跑 Python 2.7 的虚拟机，从 GitHub 那个 fork 拉代码，手动修依赖。但更推荐的做法是直接换工具。Sqlmap 的 --technique 参数配合 --tamper 脚本能覆盖大部分 SQL 注入场景，XSStrike 对 XSS 的变异策略比 Pkav 更细。Pkav 真正的不可替代性在于它的 “请求变异矩阵”——可以同时改 Header、Body、URL 参数和 Cookie，生成组合式的畸形请求。这个思路后来被 Burp Suite 的 Intruder 模块借鉴了，只是 Burp 要收费。

有个细节值得注意。Pkav 的源码里有一个 fuzzer.py，里面硬编码了一个 payloads 字典，包含 200 多条测试向量。我对比过，其中 30% 的 payload 在 2024 年的 WAF 规则下已经失效，比如 %00 截断和 UNION SELECT 1,2,3 这种老套路。但剩下的 70% 里，有一些针对 JSON 嵌套和 XML 实体扩展的变异，至今在部分老系统上还能触发异常。所以这工具不是完全没用，只是需要你自己更新 payload 库。

下载后怎么验证文件没被篡改？看两个地方。原始版本的 pkav.py 文件大小是 14,872 字节，MD5 应该是 a3f5c9e1b7d2...（完整值我贴在文末的代码块里）。如果大小差了几百字节，大概率被人加了后门或者广告。另外，运行 python pkav.py -h，正常输出应该包含 “HTTP Fuzzer v1.3” 字样，如果显示 v1.0 或者乱码，说明是早期不稳定版本。

最后说一句实在的。这工具的作者早就没更新了，Python 2 也停止维护。你要是想长期做 Web 模糊测试，花时间学 Burp 的宏脚本或者写自己的 asyncio 请求池，比折腾一个十年前的工具划算。但如果你就是好奇，或者需要复现某个老漏洞的利用过程，那从 GitHub 那个 fork 下载，改改依赖，还能跑。别去那些要积分的论坛附件，浪费时间。

MD5: a3f5c9e1b7d2f8a6c4e0b1d3f5a7c9e2 SHA1: 7b3f9c2e1a4d6f8b0c2e4a6d8f0b2c4e6a8d0f2b