web渗透测试工具中文

真正干过渗透测试的渗试工人，桌面上的透测工具其实没几个花架子。Burp Suite、具中sqlmap、渗试工Nmap，透测再加个AWVS，具中基本就撑起日常了。渗试工中文资料满天飞，透测但多数教程只教你点按钮，具中不教你为啥点。渗试工今天聊点实在的透测。

先说Burp Suite。具中这玩意儿是渗试工抓包改包的核心，但很多人卡在“中文版”三个字上。透测官方没中文，具中网上流传的汉化包多半是旧版，装上后功能菜单错位，反而误事。我的建议是直接啃英文原版，界面词就那几十个，Proxy、Repeater、Intruder，三天就熟了。真要中文帮助，看《Burp Suite实战指南》的PDF，比汉化包靠谱一百倍。实际测试时，我最常用的是Repeater模块，改个Cookie、调个参数，看响应变化，比Intruder的暴力轮询直观得多。

sqlmap算是最“中文友好”的工具，因为它的命令行参数注释里自带中文说明，虽然翻译生硬，但够用。比如`--tamper`参数，官方注释写着“使用可绕过WAF的脚本”，中文社区直接译成“绕过防火墙的魔法”，听着玄乎，其实就是加个空格或注释符。我碰过一个小站，参数加了`--random-agent`都没用，最后用`--tamper=space2comment`，把空格换成`/**/`，瞬间就过了。这工具别贪多，核心就`-u`、`-D`、`-T`、`--dump`这几个，其他参数按需查。

Nmap更不用多说，`-sV`版本探测、`-p-`全端口扫描，中文教程里最爱讲`--script`的用法。但很多人忽略了一个细节：Nmap的脚本输出是英文，报错信息也全英文。真遇到防火墙拦，别死磕脚本，先看`-O`系统识别准不准。有次我扫一个内网IP，`-O`判断是Windows Server 2016，但`-sV`跑出来是Linux的Apache，后来发现对方装了虚拟机，Nmap把宿主和虚拟机的指纹混了。工具再强，也得靠人判断。

还有个小众但好用的，Xray。国产的被动扫描器，中文文档全，支持Windows下直接跑。它的核心是监听流量，你浏览器访问目标站点，它就自动测漏洞。我拿它扫过几个政府网站，比AWVS安静，误报率低。缺点是爬虫能力弱，静态页面扫不出东西，得配合手工点一点。中文社区里对Xray的评价两极分化，但我觉得作为辅助工具，它比OpenVAS顺手。

工具选型上，别迷信“全家桶”。我见过有人装了一整套kali中文版，结果真上项目时，只用了个hydra跑弱口令。工具越少，越容易精通。你花三天把Burp的Intruder四种攻击类型吃透，比装二十个“中文版黑客软件”有用得多。那些打包好的“中文版工具包”，十个里有八个带后门，别拿客户数据开玩笑。

最后说个真事。上周帮朋友测一个电商站，他用的是某“中文一键扫描工具”，扫出个“高危SQL注入”，兴奋得不行。我拿sqlmap复核，参数加了`--level=5`，结果发现那只是个报错函数，不是可注入点。工具给的结果，一定要手动验证。那些中文工具自带的“报告生成”，打印出来看着专业，实际是唬外行用的。真本事，还是得靠你盯着响应包，一条条看状态码和字节数。

工具是死的，思路是活的。中文资料帮你入门，但别停在入门。把英文文档当字典查，把源码当小说读，比什么“中文版”都强。