kali web漏洞扫描

凌晨两点，洞扫我盯着终端里滚动的洞扫绿字，nikto 刚跑完一个电商站点的洞扫常规扫描。输出停在“7 vulnerabilities found”上，洞扫其中一条是洞扫过期的SSL证书，另一条是洞扫暴露的phpinfo页面。这活儿不酷，洞扫甚至有点枯燥，洞扫但恰恰是洞扫这种枯燥，决定了你是洞扫在做安全测试，还是洞扫在玩黑客游戏。

Kali里塞满了扫描器，洞扫nmap 是洞扫地基，nikto 是洞扫老黄牛，wpscan 专啃WordPress，洞扫sqlmap 是个暴脾气，对着参数一梭子下去，数据库就吐了。但工具再多，核心逻辑就一条：先摸清目标暴露面，再找薄弱点，最后验证能不能打穿。别指望一个命令搞定所有事，那是电影里的桥段。

我习惯先用 nmap -sV -sC 探端口和服务版本。注意，别加 -p- 扫全端口，除非你有一下午时间耗着。扫出来80和443，再上 whatweb 识别CMS和中间件。有一次，目标是个政府子站，whatweb 报出用的是老版本Apache，顺手查了下，CVE-2021-41773 路径穿越直接能读 /etc/passwd。没花五分钟，漏洞就实锤了。

但扫描不是无脑点鼠标。你得带着脑子看输出。比如 nikto 报了个“Interesting File /admin/”，别急着高兴，先手动访问看看。可能是个404页面伪装的蜜罐，也可能是真的后台登录框。判断依据是什么？响应头里的 Server 字段，页面标题，还有返回内容的长度。这些细节，工具不会替你思考。

说到 sqlmap，我见过太多人拿它乱打。对着一个登录表单直接 --forms --crawl=3，结果把人家测试环境打崩了，数据库写了一堆垃圾数据。正确的姿势是先用 burp 抓包，找到注入点，再用 sqlmap -r request.txt 精准测试。有一次，我在一个搜索框里输入单引号，页面报错信息直接泄露了SQL语句片段，那才叫注入点。工具是锤子，你得先找到钉子在哪。

扫描报告怎么读？别盯着“High Risk”百分比看，那是给甲方汇报用的。你得看具体条目，判断这个漏洞能不能被利用，利用条件是什么，需要不需要认证。比如 wpscan 报了个插件漏洞，但版本号是4.7.1，你查一下发现修复版本是4.7.2，那这个漏洞就是真实的，可打。如果插件版本对不上，可能是误报，别浪费时间。

有个细节我吃了不少亏才明白：扫描前先看robots.txt和sitemap.xml。有时候目标把后台路径写在robots里，Disallow: /administrator/，这等于直接告诉你入口在哪。还有一次，我从JS文件里扒出一个API接口，参数是 ?id=，测了下存在布尔盲注，比扫半天端口效率高多了。

最后说点实在的。扫描这活儿，七分靠准备，三分靠执行。你得先确认授权范围，别越界扫了隔壁IP段，那是法律问题。扫描过程中留意目标响应速度，别把人家服务器打挂了，生产环境挂了是要吃官司的。工具跑完，把原始输出存个档，写报告时能拿出来当证据。至于那些自动生成的HTML报告，我基本不看，格式花哨，内容空洞，不如自己整理几行关键发现。

Kali里的工具更新勤快，但底层逻辑十年没变。你需要的不是更多工具，而是更清醒的判断力。扫到一个漏洞，先问自己：这是不是真的？能不能复现？影响范围多大？想清楚这三件事，再考虑下一步动作。