我见过太多人拿着最新款的工具漏洞扫描器，对着目标一顿狂扫，查找结果输出几百页报告，漏洞真正能用的工具没几个。工具不是查找越贵越花哨就越好，关键是漏洞你要知道自己在找什么。
最基础的工具，你得先有一双好眼睛。查找我说的漏洞不是显示器，是工具浏览器自带的开发者工具。按F12，查找看网络请求，漏洞看响应头，工具看源代码。查找很多漏洞就藏在那些不起眼的漏洞注释里，或者某个被遗漏的接口参数中。有一次我测试一个后台系统，翻遍了所有扫描器都没发现异常，最后在开发者工具的Console里看到一条报错，泄露了完整的SQL查询语句——这比任何扫描器都直接。
说到具体工具，Burp Suite是绕不开的。它不是那种一键出报告的花架子，而是让你亲手去操作每一个请求。改个参数，看服务器怎么反应；换个请求头，看能不能绕过认证。我习惯把它的拦截功能开到最大，把每个请求都仔细过一遍。那种感觉就像拆钟表，你得亲眼看着每个齿轮怎么咬合，才能找到卡住的地方。
但光靠Burp不够，复杂点的逻辑漏洞它抓不住。这时候需要脚本。Python写个小脚本，模拟用户操作流程，比如注册、登录、改密码、下单，每一步都故意篡改数据。我上周测一个电商平台，就是写了个脚本循环提交订单，发现修改价格参数后，服务器居然没有二次校验，直接按改过的金额结算。这种漏洞，任何扫描器都扫不出来，因为它们不懂业务逻辑。
还有一类容易被忽略的工具——搜索引擎。很多人不知道，Google的site语法和GitHub的代码搜索能帮你找到意想不到的东西。开发人员经常把API密钥、数据库连接串甚至内部文档传到公开仓库里。你搜一下"password"加目标域名，说不定就有惊喜。这不算什么高深技术，但确实有效。
移动端应用另说。抓包工具得用Charles或者Fiddler，但关键是配置好HTTPS证书。我遇到不少测试者卡在这步，证书没装对，流量全加密了，什么都看不到。装好之后，重点看客户端有没有做完整性校验，比如改一下请求里的用户ID，能不能越权查看别人的信息。
最后提醒一句，工具永远只是辅助。真正决定你能发现什么漏洞的，是你对目标系统的理解程度。我见过有人拿着同样的工具，一个连基础的SQL注入都找不到，另一个却能挖出深层逻辑漏洞。差别在于后者会花时间研究业务，读懂每一行代码背后的意图。工具是枪，但你得先知道靶子在哪里。