去年冬天帮朋友查一个站，注入他咬定服务器固若金汤，点扫结果sqlmap跑了两分钟就弹出注入点。描工他愣了半天，注入说这参数我三年前就写死了啊。点扫问题就出在那——写死了，描工但没过滤。注入

注入点扫描工具干的点扫事，说白了就是描工替人干这种“翻旧账”的活。它不创造漏洞，注入只负责把开发者当年偷的点扫懒一个个翻出来晒太阳。sqlmap算是描工最出名的一个，命令行敲下去，注入它先判断数据库类型，点扫再猜闭合方式，描工然后一层层剥。过程像开锁，有时候咔哒一声，有时候得试几百次。

但别以为只有sqlmap。商业扫描器像Acunetix、Netsparker，走的是另一条路——爬虫先把站点结构摸一遍，每个带参数的URL都扔进检测引擎。速度快，误报也高。我见过一个后台登录页，参数名是“username”，扫描器非说存在布尔盲注，手动验证发现只是返回信息不同。工具终究是工具，它不懂业务逻辑。

真正有意思的是那些藏在犄角旮旯的注入点。比如HTTP头里的User-Agent，很多WAF根本不查。还有Cookie里的某个不起眼的字段，开发觉得用户改不了，实际上抓包一改就中招。去年一个电商站，搜索框过滤得严严实实，结果排序参数“orderby”没做处理，直接注入。扫描器能发现这种，靠的是字典够大、Payload够全，但更靠运气——它得先猜到那个参数名。

说回技术细节。布尔盲注和时间盲注是扫描器最爱用的两种手法。布尔盲注看页面返回差异，时间盲注看响应延迟。前者快但容易被WAF识别，后者慢但隐蔽。sqlmap默认会先试报错注入，不行再换布尔，最后上时间。这个顺序有讲究——报错注入效率最高，但很多站关了错误回显。时间盲注最稳，但一个字符猜几秒，一个库名能跑一晚上。

我自己的习惯是，扫描器报出注入点后，一定手动复现。用Burp抓包，把Payload换成sleep(5)，看响应时间是否真的延迟。有次扫描器说某参数存在时间盲注，手动一测，延迟是有了，但换成sleep(0)也延迟——原来是服务器本身响应就慢。误报就这么来的。

工具用多了会发现，注入点扫描的本质是“参数污染”。你往一个参数里塞各种字符，看后端怎么处理。单引号、双引号、括号、注释符，组合起来就是一套试探拳。扫描器把这套拳法自动化了，但拳法本身不新鲜。新鲜的是绕过WAF的姿势——比如用内联注释/*!50000select*/，或者用%0a换行代替空格。这些技巧扫描器不一定内置，得自己写Tamper脚本。

最后说个真事。某次扫描一个政府站，所有常规参数都干净。后来发现URL里有个?id=1&id=2，第二个id覆盖了第一个。扫描器没报，因为它的字典里没有“重复参数”这一项。手动测试，第二个id存在注入。工具再强，也强不过人的思路。扫描器是筛子，筛出大颗粒的漏洞，细沙还得自己用手摸。

所以别迷信扫描结果。它说安全，未必真安全；它说有问题，也未必真有问题。注入点扫描工具的价值，在于把重复劳动压缩成几分钟，剩下的判断，还是得靠人。