web渗透测试工具

Burp Suite 的社区版没有 Intruder 的自动攻击功能，但它的透测 Repeater 和 Proxy 依然是手工测试的骨架。我见过不少新手一上来就找“一键拿站”的渗试工工具，结果连 HTTP 请求包里的透测 Host 头都没看明白。工具从来不是渗试工魔法，它只是透测把手工流程里重复的部分加速了。

拿 SQL 注入来说，渗试工sqlmap 确实能省掉大量时间。透测去年帮朋友看一个老旧的渗试工 PHP 商城，参数 ?透测id=12 加个单引号直接报数据库错误。丢进 sqlmap，渗试工--batch --dbs 跑了两分钟，透测库名全出来了。渗试工但如果没有前面手工确认注入点，透测sqlmap 的渗试工误报或者盲注超时能让你等到怀疑人生。工具的选择取决于场景：时间紧、目标明确，用 sqlmap；想理解注入原理或者绕 WAF，反而得手动构造 payload，比如 /*!50000union*/ 这种内联注释。

目录扫描是另一个典型。dirsearch 和 gobuster 的区别不在功能，在速度。gobuster 用 Go 写，并发高，扫 10 万字典对一台响应快的服务器可能就几分钟。但字典质量比工具本身关键。我习惯把 SecLists 里的 raft-medium-directories.txt 和 common.txt 合并，再手动加一些目标特有的路径——比如 /api/v1/、/.git/。有一次扫一个 CMS，默认字典没出结果，加了个 /administrator/ 直接跳到后台登录页。工具不会告诉你字典里该有什么，那是人的经验。

XSS 检测工具里，XSStrike 的 payload 生成逻辑比很多商业工具更聪明。它不依赖庞大的字典，而是分析上下文——你的输入落在 HTML 标签里、属性里还是 script 块里，然后动态构造绕过。但别指望它自动打穿所有 WAF。我试过一个目标，XSStrike 跑了半小时没结果，手工把 改成 反而成了。工具的训练数据总有边界，人的创造力没有。

Nmap 严格来说不算 web 渗透工具，但 nmap -p 80,443,8080 --script http-enum 能快速摸清 web 服务的指纹。有一次扫一个内网 IP，nmap 报 http-title: 502 Bad Gateway，但 http-headers 脚本显示 Server 是 nginx/1.14.0。顺手试了 /nginx_status，直接看到活跃连接数。这种信息泄露比任何漏洞扫描器都直接。

工具链的搭配比单个工具重要。我的常规流程：先用 httpx 批量探活，筛出 200 和 403 的 URL；然后 nuclei 跑一遍社区模板，把 CVE-2023- 开头的模板单独拎出来；最后对可疑目标上 Burp 手工。nuclei 的误报率比想象中低，但它的模板更新依赖社区，冷门 CMS 的漏洞经常滞后。所以遇到不认识的系统，还是得靠 Google 语法和 GitHub 搜索。

最后说一个反直觉的点：很多渗透测试失败不是因为工具不够强，而是因为信息收集太糙。用 subfinder 找子域名，amass 做被动枚举，gau 拉取 Wayback Machine 的历史 URL——这些工具的输出往往比漏洞扫描器更有价值。一个三年前泄露的 /api/debug.php 可能至今还能访问，而扫描器只盯着当前页面。工具是死的，人的思路决定了它能走多远。